Cómo se usa
- 1.Escribe un dominio como
example.como pega una dirección de correo y se comprobará la parte que va detrás de la @. - 2.Añade un selector DKIM si lo conoces (el valor
s=de la cabeceraDKIM-Signaturede un correo); si no, se prueban los selectores de los grandes proveedores. - 3.Haz clic en Comprobar. El veredicto de arriba resume SPF, DKIM y DMARC; cada sección de abajo muestra el registro, qué significa y qué hay que corregir.
- 4.Abre los include de SPF para ver qué servicio usa cuántas de las 10 consultas DNS, y pasa el ratón por encima de un dominio o rango de IP para consultarlo en otra herramienta.
Para qué sirven SPF, DKIM y DMARC
El correo electrónico se diseñó sin ninguna comprobación del remitente, así que cualquiera puede poner tu dominio en la línea De. Tres registros DNS lo solucionan. SPF (un registro TXT que empieza por v=spf1) enumera los servidores que pueden enviar correo del dominio. DKIM firma cada mensaje con una clave cuya mitad pública se publica en <selector>._domainkey.<domain>, para que los receptores puedan verificar que el mensaje no se ha modificado y que viene realmente del dominio. DMARC (un registro TXT en _dmarc.<domain>) vincula ambos a la dirección que la gente ve de verdad en la línea De e indica a los receptores qué hacer cuando ninguno de los dos se cumple: nada (p=none), carpeta de spam (p=quarantine) o rechazo (p=reject).
Un mensaje pasa DMARC cuando SPF o DKIM se cumplen para un dominio que coincide con el del remitente (De). El reenvío suele romper SPF, y por eso importa DKIM: la firma sobrevive al reenvío, la dirección del servidor de envío no. Gmail, Yahoo y Microsoft exigen ahora SPF, DKIM y un registro DMARC a quien envía correo masivo.
El límite de 10 consultas DNS de SPF
Para evaluar SPF, un servidor receptor puede hacer como máximo 10 consultas DNS (RFC 7208). Cada include, a, mx, ptr, exists y redirect cuenta como una, también los que hay dentro de los registros que incluyes. ip4, ip6 y all no cuentan. Si pasas de 10, el resultado es un error permanente (permerror): SPF falla para todos los mensajes, a menudo sin que nadie se dé cuenta.
Cada servicio de correo que añades (un CRM, una herramienta de newsletters, un sistema de soporte) suele traer un include con varias consultas propias, y los proveedores cambian los suyos con el tiempo. Quita los include de servicios que ya no usas, usa el include más acotado del proveedor si lo ofrece y envía el correo de marketing desde un subdominio con su propio registro SPF. Las consultas que no encuentran nada también cuentan: más de dos también son un error.
Cómo pasar DMARC de none a reject sin riesgos
Empieza con p=none y una dirección rua. Los receptores te enviarán cada día informes agregados con todos los servidores que han enviado correo como tu dominio y si SPF y DKIM se han cumplido. Un servicio de informes o un analizador gratuito convierte el XML en una lista legible.
Corrige cada origen legítimo que falle: añádelo a SPF, activa la firma DKIM en ese servicio o pásalo a un subdominio. Cuando los informes muestren que solo tu propio correo pasa, cambia a p=quarantine, si quieres con pct por debajo de 100 para empezar poco a poco, y tras unas semanas tranquilas a p=reject. Sigue leyendo los informes después: si una herramienta nueva empieza a enviar como tu dominio, lo verás allí primero.
Preguntas frecuentes
¿Cómo soluciono «SPF permerror: too many DNS lookups»?
Cuenta las consultas: este comprobador suma cada include, a, mx, ptr, exists y redirect de todos los registros anidados. Quita los include de servicios que ya no usas, sustituye los include de tus propios servidores por rangos ip4/ip6 y lleva los envíos masivos a un subdominio con su propio registro SPF. Evita los servicios de «SPF flattening» salvo que mantengan las direcciones actualizadas, porque los proveedores cambian sus rangos.
¿Por qué el comprobador no encuentra mi clave DKIM?
Las claves DKIM solo se pueden consultar por su selector y no hay forma de listarlas. Sin selector, nestoo prueba los nombres que usan los grandes proveedores (Google, Microsoft 365, Mailchimp, SendGrid, Zoho y otros). Abre un correo del dominio, mira la cabecera DKIM-Signature y escribe su valor s=, por ejemplo s=20230601, como selector.
¿Basta con p=none?
No. p=none solo pide informes; el correo que no pasa DMARC se entrega como antes, así que la suplantación sigue funcionando. Es el primer paso correcto. Pasa a p=quarantine y después a p=reject cuando los informes muestren que todo tu correo legítimo pasa.
¿SPF debe terminar con ~all o con -all?
Los dos protegen el dominio cuando hay DMARC, porque es DMARC quien decide qué pasa con el correo que falla. ~all (softfail) es la opción habitual y perdona más si olvidas algún remitente. -all es más estricto y está bien cuando tienes claro que el registro está completo. No uses nunca +all ni ?all.
¿Un dominio que no envía correo necesita estos registros?
Sí; si no, los spammers pueden usarlo. Publica v=spf1 -all, un registro DMARC con p=reject y, si quieres, un registro MX nulo (0 .) y una clave DKIM vacía en *._domainkey. Juntos indican a cualquier receptor que ningún correo de este dominio es auténtico.