Guías · Correo y dominios

SPF, DKIM y DMARC explicados: por qué tus correos acaban en spam

Escrito por Aldo · threat hunter en un blue team
Última actualización: 9 de noviembre de 2026 · 5 min de lectura

Tus facturas llegan a la carpeta de spam de los clientes, o directamente rebotan. Nueve de cada diez veces el problema no es el contenido. Los servidores que reciben no pueden confirmar que el correo viene de verdad de tu dominio. Lo deciden tres registros DNS.

Los tres registros, en palabras claras

SPF: quién puede enviar

SPF es un registro TXT de tu dominio que enumera los servidores autorizados a enviar su correo. Uno típico, para una empresa que usa Google Workspace y una herramienta de newsletters:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Cada include: incorpora la lista de un proveedor. El final dice qué hacer con todo lo demás: -all significa «rechazar», ~all «tratar con sospecha». SPF comprueba el remitente oculto del sobre (el Return-Path), no la línea From que ve la gente, y por eso no basta por sí solo.

La trampa: SPF admite como mucho diez consultas DNS durante la evaluación. Cuentan cada include, a, mx y exists, también los que hay dentro de las listas de los proveedores. Añade un servicio de más y SPF falla para todos los mensajes, sin avisar.

DKIM: una firma en cada mensaje

Tu servicio de correo firma cada mensaje saliente con una clave privada y publica la clave pública en el DNS bajo un selector, en selector._domainkey.tudominio. El receptor comprueba la firma; si coincide, el mensaje pasó de verdad por un servidor que tiene tu clave y nadie lo modificó por el camino. Los registros DKIM no se escriben a mano: cada servicio de correo te da el registro que debes publicar, y activas la firma en sus ajustes.

DMARC: atarlo a la dirección From y fijar una política

DMARC vive en _dmarc.tudominio. Dice: un mensaje solo pasa si SPF o DKIM pasan para el mismo dominio que la dirección From (es lo que se llama alineación), y esto es lo que hay que hacer cuando no ocurre.

v=DMARC1; p=none; rua=mailto:dmarc-reports@tudominio

p=none solo recoge informes; p=quarantine manda los fallos a spam; p=reject los rechaza. La dirección rua recibe informes diarios de los grandes receptores, con cada servidor que envió correo haciéndose pasar por ti. Con esos informes descubres los servicios que habías olvidado.

Un ejemplo real: un dominio que no envía ningún correo

Pasamos el informe de dominio de iplover a example.com, el dominio de documentación, el 9 de noviembre de 2026. Su sección de correo, tal como aparece:

Así debe verse un dominio que nunca envía correo, y vale la pena copiarlo para cualquier dominio que tengas y no uses para el correo:

• v=spf1 -all no autoriza ningún servidor, así que cualquier mensaje que diga venir de él falla SPF.
• p=reject con sp=reject pide a los receptores que rechacen los fallos del dominio y de sus subdominios. adkim=s y aspf=s exigen una alineación exacta (estricta) en vez de admitir subdominios.
• Un registro MX nulo dice que el dominio tampoco acepta correo.

La nota sobre DKIM reconoce su límite: ninguna clave en los selectores que probamos. Un dominio que no envía nada no tiene por qué publicar una. En un dominio que sí envía, «no encontrada» también puede significar un selector que no hemos adivinado; las cabeceras de un mensaje que hayas enviado tú (busca s= en la línea DKIM-Signature) te dicen el verdadero.

Comprueba tu propio dominio

dig +short TXT tudominio.es | grep spf1
dig +short TXT _dmarc.tudominio.es
dig +short TXT selector._domainkey.tudominio.es   # usa tu selector real

En Windows: nslookup -type=TXT _dmarc.tudominio.es. O pasa el informe de dominio, que hace todo esto y cuenta por ti las consultas de SPF.

La mejor prueba de todas: envía un mensaje a una cuenta de Gmail que controles, ábrelo, elige Mostrar original y lee las líneas SPF, DKIM y DMARC de arriba. Es exactamente lo que el receptor concluyó sobre ti.

Si tu correo acaba en spam: la lista de arreglos

Cuando los informes muestren que solo pasan tus propios servicios, endurece DMARC paso a paso: p=quarantine y luego p=reject. Pasar directamente a reject antes de haber encontrado todos los remitentes es como las empresas pierden sus propias facturas.

Lo que estos registros no pueden hacer

SPF, DKIM y DMARC protegen tu dominio exacto de las falsificaciones. No impiden que alguien registre un dominio parecido, no hacen bienvenido el correo basura y no dicen nada sobre si el contenido de un mensaje es honrado. Son el mínimo para que los receptores confíen en tu dominio, no una garantía de llegar a la bandeja de entrada.