Qué son SPF, DKIM y DMARC (y por qué son clave para tu correo profesional)

Cuando envías un correo profesional (presupuestos, facturas, notificaciones a clientes) hay dos cosas que das por hechas: que llegará y que nadie lo falsificará usando tu dominio. Sin embargo, si no tienes bien configurados SPF, DKIM y DMARC, ninguna de las dos está garantizada.

Estos tres estándares son la base de la autenticación moderna del correo electrónico. Sin ellos, tus mensajes tienen más probabilidades de terminar en spam y tu dominio es más fácil de suplantar en campañas de phishing. Precisamente por eso tiene sentido contar con un proveedor tecnológico solvente como Hanka.es, capaz de gestionar tanto el DNS como el servidor y la configuración del correo de forma coherente.

SPF: quién está autorizado a enviar correos con tu dominio

SPF (Sender Policy Framework) es un estándar que indica qué servidores están autorizados a enviar correo en nombre de tu dominio.

En la práctica:

Se define un registro TXT SPF en el DNS de tu dominio.
Ese registro enumera las IPs o servidores (por ejemplo, tu hosting, tu proveedor de correo, tu herramienta de email marketing) que pueden enviar correos como @tudominio.com.
Cuando un servidor receptor recibe un correo, consulta el DNS de tu dominio y comprueba si la IP desde la que se envió está en esa lista.

Si está autorizada, el SPF suele “pasar”; si no, el mensaje tiene más probabilidades de ser marcado como sospechoso o directamente rechazado.

Errores habituales que un proveedor serio ayuda a evitar:

Olvidar incluir una herramienta externa (por ejemplo, una plataforma de mailing) en el SPF.
Duplicar registros SPF o superar los límites de consultas DNS.
Mantener en el registro servidores que ya no usas, abriendo la puerta a envíos no deseados.

DKIM: firmar tus correos para demostrar que no se han manipulado

DKIM (DomainKeys Identified Mail) añade una firma digital a tus correos para demostrar dos cosas:

Que el mensaje lo ha generado un servidor autorizado para tu dominio.
Que el contenido no ha sido manipulado en tránsito.

El mecanismo es, simplificado:

Se genera un par de claves criptográficas: una privada (que se guarda en el servidor que envía) y una pública (que se publica en un registro DNS DKIM).
Cuando envías un correo, tu servidor firma ciertas partes del mensaje con la clave privada.
El servidor que lo recibe consulta el DNS de tu dominio, obtiene la clave pública y verifica que la firma es válida.

Si la firma encaja, el servidor receptor sabe que el correo:

Procede del dominio que dice ser.
No ha sido alterado desde que se firmó.

Configurar DKIM implica coordinar:

DNS (publicar la clave pública en el dominio correcto).
Servidor o proveedor de correo (para que firme con la clave privada).
Herramientas externas que también envían como tu dominio (para que usen su propio selector DKIM correctamente configurado).

DMARC: la “política” que une SPF y DKIM y decide qué hacer con los fallos

DMARC (Domain-based Message Authentication, Reporting and Conformance) se apoya en SPF y DKIM para dar un paso más: define qué debe hacer el servidor que recibe un correo cuando las comprobaciones de SPF y/o DKIM fallan y permite obtener informes sobre lo que está pasando con tu dominio.

Un registro DMARC en tu DNS incluye, entre otros:

El modo de alineación (cómo deben coincidir los dominios de SPF/DKIM con el dominio visible al usuario).
La política (none, quarantine, reject):
- none: no se aplica acción, solo se reciben informes.
- quarantine: correos sospechosos pueden ir a spam.
- reject: correos que no superan las verificaciones se rechazan.
Una dirección de correo donde recibir informes agregados (quién intenta enviar en nombre de tu dominio, desde qué IPs, con qué resultados).

DMARC te permite pasar de “no saber qué está ocurriendo con tus correos” a tener visibilidad y control real sobre qué se acepta, qué se rechaza y quién está intentando suplantar tu dominio.

Por qué todo esto afecta directamente a tu negocio

SPF, DKIM y DMARC no son tecnicismos abstractos: afectan a cosas muy concretas en tu día a día:

Entregabilidad: correos que terminan en spam o se rechazan nunca cumplen su función. Significa presupuestos no vistos, facturas que “no llegan”, notificaciones que se pierden.
Reputación de dominio: si tu dominio se utiliza para spam o phishing, los proveedores de correo te penalizan; incluso los mensajes legítimos tendrán más problemas para entrar en bandeja de entrada.
Confianza: que tus clientes reciban correos falsos que parecen tuyos daña tu imagen y puede tener consecuencias legales o económicas.

Configurar todo esto “a medias” (por ejemplo, un SPF mal hecho o un DMARC en modo none eterno) puede ser tan problemático como no tener nada. Es un área donde la improvisación sale cara.

Por qué no es un simple “añadir un registro DNS”

En teoría, activar SPF, DKIM y DMARC es “solo” cuestión de registros DNS. En la práctica, rara vez es tan simple:

Hay que tener una visión completa de todos los sistemas que envían correo como tu dominio (servidor propio, servicios de correo, plataformas de newsletter, CRM, sistemas de ticketing, etc.).
Es necesario coordinar la configuración entre DNS y cada uno de esos sistemas, comprobando que firman bien y que figuran en el SPF correspondiente.
Hay que ajustar la política DMARC de forma progresiva (none → quarantine → reject), basándose en los informes y en comportamientos reales, no “a ciegas”.
Cualquier cambio de hosting, proveedor de correo o herramienta de email marketing implica revisar y actualizar estos registros.

Por eso, intentar resolverlo solo con un tutorial genérico suele acabar en dos extremos: o no te protege de verdad, o rompe envíos legítimos sin que te des cuenta hasta que ya hay daños.

Cómo encaja Hanka.es en todo esto

Hanka no se limita a "desarrollar una web" o “dar un hosting”: ofrece soporte informático profesional con una visión completa de los componentes implicados en que tu correo funcione como debe.

Esto incluye:

Gestión y actualización de DNS: dominios, registros SPF, DKIM y DMARC coherentes con todos tus sistemas.
Coordinación con servidores de correo y servicios externos (email marketing, CRM, sistemas de envío transaccional) para que todos estén alineados con tus políticas de autenticación.
Resolución de problemas de entregabilidad: análisis de por qué tus correos acaban en spam, revisión de la configuración técnica y aplicación de correcciones.
Evolución controlada de DMARC: empezar con políticas más laxas, interpretar los informes y avanzar hacia políticas más estrictas cuando la configuración es estable.

La ventaja de contar con un proveedor tecnológico solvente como Hanka.es es que no dependes de recetas genéricas ni pruebas a ciegas: se analiza tu caso, se diseña una configuración coherente con tu infraestructura y se mantiene en el tiempo.

Cuándo tiene sentido pedir ayuda profesional

Hay varias señales claras de que necesitas apoyo experto:

Tus correos llegan con frecuencia a spam en clientes importantes.
Cambiaste de hosting o de proveedor de correo y empezaron los problemas.
Usas varias herramientas que envían como tu dominio y no tienes claro si todas están bien configuradas.
Has intentado añadir registros SPF/DKIM/DMARC pero no sabes interpretar los resultados ni los informes.
Quieres endurecer la política DMARC (por ejemplo, pasar a reject) sin dejar fuera envíos legítimos.

En estos escenarios, seguir probando “a ver si ahora funciona” no es eficiente. Necesitas alguien que entienda tanto la parte de DNS y correo como el contexto global de tu infraestructura digital.

SPF, DKIM y DMARC como parte de una base técnica sólida

La autenticación de correo no es un elemento aislado; forma parte de una base técnica más amplia donde entran:

DNS bien configurado.
Hosting y servidor de correo dimensionados y mantenidos.
Webs y aplicaciones seguras y actualizadas.
Procesos de copia de seguridad y monitorización.

Hanka.es trabaja precisamente en ese nivel: como socio tecnológico que no solo programa, sino que se responsabiliza de que tu infraestructura soporte tu actividad sin sobresaltos.

Si tu correo profesional es importante para tu negocio (lo es para casi todos), vale la pena asegurar que SPF, DKIM y DMARC están bien planteados y no simplemente “activados”.

¿Quieres revisar si la configuración de tu dominio es segura y está optimizada para que tus correos lleguen?
Contar con un proveedor tecnológico solvente como Hanka.es puede marcar la diferencia entre “a veces funciona” y “funciona siempre que debe”.

👉 Más información y contacto: https://hanka.es