Si usas una plataforma de email marketing, es muy probable que te hayan pedido "autenticar tu dominio". Detrás de esa frase hay tres siglas que aparecen en todas las guías de entregabilidad: SPF, DKIM y DMARC. Son importantes, pero también se les atribuyen poderes que no tienen. Esta guía explica qué hace cada una, cómo dejarlas bien configuradas y dónde termina lo que pueden hacer por ti.
La idea de fondo: demostrar que el correo es tuyo
El correo electrónico se diseñó sin verificar quién envía realmente un mensaje: cualquiera puede escribir cualquier dirección en el campo "De". La autenticación existe para cerrar ese hueco. Le permite al servidor que recibe tu correo comprobar tres cosas: que quien lo envió tenía permiso, que el mensaje no se alteró en el camino y qué hacer si algo no cuadra.
SPF: quién puede enviar en nombre de tu dominio
El SPF (Sender Policy Framework) es una lista, publicada en el DNS de tu dominio, de los servidores autorizados a enviar correo con tu dirección. Cuando llega un mensaje, el servidor receptor revisa si el que lo envió está en esa lista.
- Se publica como un registro de tipo TXT.
- Si usas una plataforma de envío (Mailjet, Brevo, SendGrid u otra), normalmente tienes que "incluir" sus servidores en tu registro.
- Un dominio puede tener un solo registro SPF. Tener dos es un error muy común y hace que ambos fallen.
DKIM: una firma que prueba que el mensaje no se alteró
El DKIM (DomainKeys Identified Mail) agrega una firma digital a cada correo. Tu plataforma de envío firma el mensaje con una clave privada, y tu dominio publica en el DNS la clave pública correspondiente. El servidor receptor la usa para verificar dos cosas: que la firma es de tu dominio y que el contenido no cambió desde que se envió.
En la práctica, tu plataforma de envío te entrega uno o más registros (a menudo CNAME o TXT) para que los agregues a tu DNS. Una vez publicados, firma todos tus correos automáticamente.
DMARC: qué hacer cuando SPF o DKIM fallan
El DMARC se apoya en los dos anteriores. Le dice al servidor receptor qué hacer con los correos que dicen venir de tu dominio pero no pasan la autenticación, y además te envía reportes de lo que está ocurriendo con tu dominio. Tiene tres políticas posibles:
- none: no pidas ninguna acción, solo envíame reportes. Es el punto de partida correcto.
- quarantine: manda a spam los mensajes que fallan.
- reject: rechaza los mensajes que fallan. Es la más estricta y la que mejor protege tu dominio de suplantaciones.
Además, DMARC exige "alineación": el dominio que aparece en el campo "De" tiene que coincidir con el que autenticó SPF o DKIM. Por eso importa configurar tu plataforma de envío para firmar con tu propio dominio y no con el suyo.
Por qué hoy no son opcionales
Desde 2024, Google y Yahoo exigen autenticación (SPF, DKIM y DMARC) a quienes envían grandes volúmenes de correo, y el umbral de Gmail está en torno a los 5.000 mensajes diarios a sus usuarios (lo contamos en políticas de envío masivo cada vez más estrictas). Pero incluso con volúmenes menores, enviar sin autenticar te deja en desventaja: tus mensajes tienen más probabilidad de ir a spam y tu dominio es más fácil de suplantar.
Cómo configurarlas, paso a paso
- Haz una lista de todo lo que envía correo con tu dominio. Tu plataforma de email marketing, pero también el sistema de facturación, el CRM, el formulario de contacto, la herramienta de tickets. Si omites uno, sus correos empezarán a fallar cuando endurezcas la política.
- Publica el SPF con un único registro que incluya a todos esos servicios.
- Activa el DKIM en cada plataforma, agregando en tu DNS los registros que ella te entrega.
- Publica un DMARC con política "none" y una dirección donde recibir los reportes.
- Revisa los reportes durante unas semanas para detectar servicios legítimos que fallan y corregirlos.
- Sube la política poco a poco: primero "quarantine" y, cuando todo esté estable, "reject".
Después de cada cambio, conviene comprobar el resultado con una herramienta de verificación de DNS, y enviarte un correo de prueba a tu propia casilla de Gmail para ver el estado de la autenticación en el encabezado del mensaje.
Errores frecuentes
- Dos registros SPF en el mismo dominio.
- Un SPF que acumula demasiados servicios: el estándar limita a 10 las consultas DNS que puede generar, y superarlas hace que falle.
- Saltar directo a DMARC "reject" sin haber revisado qué servicios envían en tu nombre.
- Olvidar que cada subdominio desde el que envías también necesita su configuración.
- Configurar todo una vez y no volver a mirar los reportes.
Lo que la autenticación no resuelve
Aquí está el punto que más se malinterpreta. SPF, DKIM y DMARC prueban quién eres: que el correo viene realmente de ti. No dicen nada sobre a quién le escribes. Puedes tener las tres perfectamente configuradas y, aun así, enviar a una base llena de direcciones que no existen. Cada una de ellas rebota, y esos rebotes suman a tu tasa y a tu reputación de remitente, tal como explicamos en por qué te bloquean la cuenta al superar el 2% de rebote.
Lo mismo ocurre con las quejas de spam y con las trampas de spam: la autenticación no las evita. Por eso una buena entregabilidad tiene dos mitades. Una es técnica y se hace una vez: autenticar el dominio. La otra es continua: mantener la lista limpia (el método está en cómo limpiar una base de correos) y con consentimiento real.
En resumen
SPF autoriza servidores, DKIM firma los mensajes y DMARC define qué hacer cuando algo falla. Configúralos con calma, empezando por una política que solo observe, y revisa los reportes antes de endurecerla. Y cuando tu dominio ya esté bien autenticado, ocúpate de la otra mitad: verifica tu base con Veriffai antes de cada envío para que lo que le escribas a tu lista llegue a direcciones que existen.