{"id":77,"date":"2026-05-12T19:26:38","date_gmt":"2026-05-12T19:26:38","guid":{"rendered":"https:\/\/correo-cloud.com\/blog\/?p=77"},"modified":"2026-05-12T19:26:38","modified_gmt":"2026-05-12T19:26:38","slug":"spf-dkim-dmarc","status":"publish","type":"post","link":"https:\/\/correo-cloud.com\/blog\/spf-dkim-dmarc\/","title":{"rendered":"SPF, DKIM y DMARC – gu\u00eda de configuraci\u00f3n para empresas 2026"},"content":{"rendered":"

Configurar SPF DKIM DMARC<\/strong> es lo primero que hay que revisar cuando los correos corporativos llegan a spam o directamente no llegan. Si tus clientes en Venezuela, M\u00e9xico, Colombia, Chile o Argentina te dicen que no les llega nada, o ven tus correos en la carpeta de no deseados, estos tres registros DNS son el origen del problema el 90% de las veces. Sin ellos, cualquier servidor de destino tiene razones t\u00e9cnicas v\u00e1lidas para desconfiar de tus mensajes, aunque vengan de Google Workspace o Exchange Online.<\/p>\n

En esta gu\u00eda vas a ver qu\u00e9 hace cada uno, c\u00f3mo se configuran paso a paso, y c\u00f3mo verificar que todo est\u00e1 funcionando antes de que el problema te cueste un cliente.<\/p>\n

Por qu\u00e9 tus correos llegan a spam \u2014 y c\u00f3mo SPF DKIM DMARC lo resuelven<\/h2>\n

Cuando env\u00edas un correo desde tu@empresa.com<\/em>, el servidor de destino recibe el mensaje y se pregunta algo simple \u2014 \u00bfeste correo viene realmente de quien dice que viene? No tiene manera de saberlo solo mirando el campo \u00abDe\u00bb, porque cualquiera puede poner cualquier direcci\u00f3n ah\u00ed.<\/p>\n

Para responder esa pregunta, el servidor consulta el DNS de tu dominio buscando registros SPF DKIM DMARC. Si los encuentra y los valores cuadran con el correo recibido, el mensaje pasa. Si no los encuentra, o algo no cuadra, va a spam o se rechaza directamente.<\/p>\n

Esto no lo inventaron Google ni Microsoft \u2014 es el est\u00e1ndar global de autenticaci\u00f3n de correo, y en 2026 Gmail y Yahoo ya aplican filtros m\u00e1s estrictos a dominios que no lo tienen. Sin estos registros, tu reputaci\u00f3n de env\u00edo depende del servidor compartido que uses, no de tu dominio.<\/p>\n

Qu\u00e9 es SPF y c\u00f3mo configurarlo<\/h2>\n

SPF (Sender Policy Framework)<\/strong> es un registro TXT en el DNS de tu dominio que lista los servidores con permiso de enviar correo en tu nombre. Cuando llega un correo desde @tuempresa.com<\/em>, el servidor receptor busca el registro SPF y comprueba si la IP del servidor remitente est\u00e1 en esa lista.<\/p>\n

Un registro SPF para Google Workspace se ve as\u00ed:<\/p>\n\n\n\n\n\n
Tipo<\/th>\nNombre<\/th>\nValor<\/th>\n<\/tr>\n<\/thead>\n
TXT<\/td>\n@ (ra\u00edz del dominio)<\/td>\nv=spf1 include:_spf.google.com ~all<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Para Exchange Online:<\/p>\n\n\n\n\n\n
Tipo<\/th>\nNombre<\/th>\nValor<\/th>\n<\/tr>\n<\/thead>\n
TXT<\/td>\n@<\/td>\nv=spf1 include:spf.protection.outlook.com ~all<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

El ~all<\/code> al final es \u00absoft fail\u00bb \u2014 los correos que no pasen SPF llegan igual pero marcados como sospechosos. Con -all<\/code> (hard fail) se rechazan directamente. Para empezar, ~all<\/code> es m\u00e1s seguro mientras terminas de verificar toda la configuraci\u00f3n.<\/p>\n

Dato importante \u2014 solo puede haber un registro SPF por dominio<\/strong>. Si ya tienes uno y agregas otro, ambos quedan inv\u00e1lidos. Si usas varios servicios de env\u00edo (Google Workspace para el correo diario y Mailchimp para campa\u00f1as, por ejemplo), hay que combinarlos en una sola l\u00ednea:<\/p>\n

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all<\/code><\/p>\n

Qu\u00e9 es DKIM y c\u00f3mo configurarlo<\/h2>\n

DKIM (DomainKeys Identified Mail)<\/strong> agrega una firma digital a cada correo que env\u00edas. El servidor receptor descifra esa firma con una clave p\u00fablica publicada en tu DNS y verifica que el mensaje no fue modificado en tr\u00e1nsito. Si alguien intercepta el correo y cambia aunque sea un car\u00e1cter, la firma no cuadra.<\/p>\n

SPF verifica el servidor de origen. DKIM viaja con el contenido del mensaje. Son capas distintas \u2014 necesitas las dos.<\/p>\n

C\u00f3mo activar DKIM en Google Workspace<\/h3>\n
    \n
  1. Entra a admin.google.com<\/strong> \u2192 Apps \u2192 Google Workspace \u2192 Gmail \u2192 Autenticar correo electr\u00f3nico.<\/li>\n
  2. Selecciona tu dominio y haz clic en Generar nuevo registro<\/strong>.<\/li>\n
  3. Google te da un valor TXT: v=DKIM1; k=rsa; p=MIGfMA0GCSq...<\/code><\/li>\n
  4. Crea un registro TXT en tu DNS con nombre google._domainkey<\/code> y ese valor.<\/li>\n
  5. Espera propagaci\u00f3n DNS (15 minutos a 48 horas) y vuelve al panel de Google para activar la firma.<\/li>\n<\/ol>\n

    C\u00f3mo activar DKIM en Exchange Online<\/h3>\n
      \n
    1. Entra al Centro de administraci\u00f3n de Microsoft 365<\/strong> \u2192 Seguridad \u2192 Correo electr\u00f3nico y colaboraci\u00f3n \u2192 Pol\u00edticas \u2192 DKIM.<\/li>\n
    2. Selecciona tu dominio y activa DKIM.<\/li>\n
    3. Microsoft te muestra dos registros CNAME con formato: selector1._domainkey.tudominio.com<\/code><\/li>\n
    4. Agrega los dos CNAME en tu DNS y vuelve a activar DKIM desde el panel de Microsoft.<\/li>\n<\/ol>\n

      Exchange Online usa CNAME en lugar de TXT porque rota las claves autom\u00e1ticamente. Cuando Microsoft renueva una clave, el CNAME ya apunta al nuevo valor sin que toques nada. En Google Workspace hay que hacer esa rotaci\u00f3n a mano cada cierto tiempo.<\/p>\n

      Qu\u00e9 es DMARC y c\u00f3mo configurarlo<\/h2>\n

      DMARC (Domain-based Message Authentication, Reporting and Conformance)<\/strong> une SPF y DKIM y define qu\u00e9 hace el servidor de destino cuando un correo falla las dos verificaciones. Sin DMARC, cada servidor decide por su cuenta qu\u00e9 hacer con esos correos. Con DMARC, t\u00fa pones la regla.<\/p>\n

      El registro DMARC va as\u00ed:<\/p>\n\n\n\n\n\n
      Tipo<\/th>\nNombre<\/th>\nValor<\/th>\n<\/tr>\n<\/thead>\n
      TXT<\/td>\n_dmarc<\/td>\nv=DMARC1; p=none; rua=mailto:dmarc@tuempresa.com<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

      El par\u00e1metro p=<\/code> define la pol\u00edtica:<\/p>\n