MX
Quién recibe el correo del dominio
Google: google · Microsoft 365: selector1 · Mailchimp: k1 · Brevo: mail · SendGrid: s1
SPF
Quién puede enviar en su nombre
DMARC
Qué hacer cuando algo no cuadra
DKIM
La firma que demuestra que no se alteró
Revisión
Qué hacer
Siguiente paso
¿Lo arreglamos por ti?
Envíanos este resultado y te respondemos en menos de 24 horas hábiles con qué arreglaríamos primero, cuánto trabajo es y qué puedes dejar como está.
Enviar este resultado
Abre el formulario con el diagnóstico ya escrito. Puedes editarlo antes de enviarlo.
¿Cómo se usa?
01
Escribe el dominio
El de tu correo, sin «www» ni «@». Si pegas una dirección entera, nos quedamos con el dominio.
02
Añade el selector, si lo sabes
DKIM vive en un nombre que elige cada proveedor. Google usa «google», Microsoft «selector1», Mailchimp «k1». Sin él se comprueba todo lo demás.
03
Lee las cuatro tarjetas
Cada una dice si el registro está, qué dice y qué le falta. Debajo, la lista de lo que conviene cambiar y en qué orden.
Los tres registros, en una frase cada uno
- SPF
- Quién puede enviar correo en nombre del dominio. Es una lista de servidores en un registro TXT; lo que no está en la lista, se marca.
- DKIM
- Una firma en cada correo que demuestra que salió de quien dice y que nadie lo tocó por el camino. La clave pública vive en el DNS, bajo un selector.
- DMARC
- Qué hacer cuando SPF o DKIM fallan —nada, a spam o rechazar— y a qué dirección mandar los informes de quién está enviando en nombre del dominio.
¿Por qué el correo acaba en spam?
Desde febrero de 2024, Gmail y Yahoo exigen SPF, DKIM y DMARC a quien envía correo en volumen, y marcan o rechazan lo que no cumple. No es una recomendación: es la condición para entrar.
Los dos fallos que más vemos son silenciosos. Un SPF que supera las diez búsquedas DNS sigue pareciendo correcto en el panel, pero para el receptor es un error permanente. Y un DMARC en p=none da la sensación de estar protegido cuando solo está mirando: los correos que suplantan el dominio se entregan igual.
El tercero es de alineación: la plataforma de marketing firma con su propio dominio en vez del tuyo, y DMARC —correctamente— no se lo cree.
El correo que envía un sistema también es tuyo
Cuando un sistema envía correos por ti —facturas, confirmaciones de pedido, recordatorios de cita, avisos de un flujo automatizado—, la entregabilidad es parte del trabajo. Un recordatorio que acaba en spam es una cita perdida, y nadie se entera hasta que el cliente no aparece.
Por eso en cada automatización que entregamos configuramos SPF, DKIM y DMARC del remitente, firmamos con el dominio del cliente y no con el de la plataforma, y vigilamos los informes de DMARC: son la única forma de saber que algo ha dejado de llegar antes de que lo diga un cliente.
Preguntas frecuentes
¿Qué diferencia hay entre ~all y -all?
Las dos cierran el SPF, pero con distinta dureza. Con ~all («softfail»), un correo que venga de un servidor que no está en la lista se marca como sospechoso y el receptor decide, normalmente con DMARC. Con -all («hardfail») se pide que se rechace directamente. En la práctica casi todos los proveedores recomiendan ~all y dejar la decisión final a DMARC, porque un -all con un servidor olvidado rechaza correo legítimo sin avisar.
¿Por qué mi SPF supera las diez búsquedas si solo tengo dos include?
Porque cada include se expande. Si incluyes a tu proveedor de correo y a tu plataforma de marketing, cada uno de ellos incluye a su vez a sus propios proveedores, y esas búsquedas también cuentan: un solo include de Microsoft 365 cuesta varias. El límite de diez es del estándar y pasarlo no da «más permisos»: da un error permanente y el correo se trata como no autenticado. Esta herramienta sigue la cadena entera para contarlas como lo haría un receptor.
¿Necesito DMARC si ya tengo SPF y DKIM?
Sí. SPF y DKIM dicen quién envía y si el correo está íntegro, pero no dicen qué hacer cuando fallan, y sin DMARC cada receptor improvisa. DMARC también es lo único que te manda informes: sin él no sabrás que alguien está enviando en nombre de tu dominio hasta que un cliente te lo cuente. Y desde febrero de 2024 Gmail y Yahoo lo exigen a quien envía más de cinco mil correos al día.
¿Qué selector DKIM uso?
El que te diga tu proveedor de correo: el registro está en selector._domainkey.tudominio.com y el nombre lo elige cada uno. Los habituales: Google Workspace usa «google», Microsoft 365 «selector1» y «selector2», Mailchimp «k1», Brevo «mail», SendGrid «s1» y «s2». Si no lo sabes, mira en el panel de tu proveedor la sección de autenticación o DKIM: ahí aparece el nombre exacto.
¿Cómo sé si mi plataforma de email marketing firma con mi dominio?
Comprueba aquí el selector que la plataforma te pidió publicar: si el registro existe y tiene clave, está firmando con tu dominio. Si la plataforma no te pidió publicar nada, firma con el suyo, y entonces DMARC ve una firma de otro dominio y la ignora. Eso es «alineación» DKIM, y sin ella la política de DMARC puede mandar tus propias campañas a spam.
¿Esta consulta pasa por vuestro servidor?
No. Tu navegador pregunta directamente al resolutor público de Cloudflare (1.1.1.1) sobre HTTPS, que es la misma consulta que haría cualquier programa de línea de comandos. Nosotros no vemos qué dominio comprobaste ni qué registros tiene. Es también el motivo por el que hace falta JavaScript.
He cambiado un registro y aquí sigue saliendo el antiguo. ¿Por qué?
Por el TTL, el tiempo que cada registro declara que puede guardarse en caché. Los resolutores públicos respetan ese valor, que suele ser de una hora, aunque algunos proveedores de DNS lo ponen en un día. Si tienes prisa, baja el TTL antes de cambiar el registro, no después: el valor viejo seguirá cacheado el tiempo que declaraba.
¿Sirve para subdominios?
Sí: escribe el subdominio completo, como correo.tudominio.com. SPF y DKIM se buscan en el nombre exacto que escribas. DMARC es distinto: si el subdominio no tiene registro propio, los receptores aplican el del dominio principal, y en concreto su etiqueta sp= si la tiene. Si el subdominio envía correo por su cuenta, conviene que tenga su propio SPF.
¿Tus correos automáticos llegan a spam?
Suele ser un registro mal cerrado o una firma con el dominio equivocado. Lo configuramos, lo probamos con los receptores reales y dejamos los informes vigilados para que no vuelva a pasar en silencio.
Respondemos en menos de 24 horas hábilesBogotá · UTC−5