¿Tus correos acaban en spam? SPF, DKIM y DMARC – explicados de forma sencilla

Un cliente te dice: «Tu correo con el presupuesto nunca llegó.» Y tú sabes perfectamente que lo enviaste. ¿Te suena?

Entonces a menudo no es culpa tuya, sino de que faltan registros en tu dominio. El correo electrónico es antiguo y se creó cuando en internet todos se fiaban de todos. En teoría, cualquiera puede poner cualquier remitente. Para que los buzones puedan distinguir los correos auténticos de los falsificados existen tres métodos de comprobación: SPF, DKIM y DMARC.

Las tres comprobaciones, en una frase cada una

Los tres son registros en el DNS de tu dominio, es decir, en la agenda de direcciones de internet. No se ven, pero todos los grandes proveedores de correo los leen con cada mensaje entrante.

Por qué es importante ahora

Los grandes proveedores de correo han endurecido las reglas. Desde febrero de 2024, Google exige a todos los remitentes que envían a Gmail al menos SPF o DKIM, además de una conexión cifrada y registros DNS válidos. Quien envía más de 5.000 correos al día necesita SPF, DKIM y DMARC y, en los correos publicitarios, una baja con un solo clic. Microsoft ha seguido el ejemplo para Outlook.com, Hotmail y Live: desde el 5 de mayo de 2025, los correos de grandes remitentes que no superan la comprobación se rechazan – con mensaje de error, no solo se mandan a spam.

¿No envías 5.000 correos al día? Entonces las reglas más estrictas no van contigo. Pero las comprobaciones influyen en la valoración de cada correo. Sin SPF y DKIM, incluso un único correo con un presupuesto acaba antes en spam. En Alemania, la BSI (Oficina Federal de Seguridad de la Información) recomienda los tres métodos en su directriz técnica sobre autenticación de correo electrónico (TR-03182).

Así compruebas cómo estás

Envía un correo a un buzón de Gmail u Outlook y abre allí la vista detallada del mensaje, normalmente “Mostrar original” o “Detalles del mensaje”. Ahí aparece “PASS” o “FAIL” para SPF, DKIM y DMARC. Si en todos pone PASS, la base está puesta. Si en alguno pone FAIL o falta algo, merece la pena echar un vistazo a la configuración DNS.

Tropiezos típicos:

• No envías solo desde tu buzón, sino también desde la herramienta de newsletter, la tienda, el programa de facturación o el sistema de tickets. Cada uno de estos servicios tiene que figurar en el SPF o recibir sus propias claves DKIM.
• Hay dos registros SPF en lugar de uno. Eso no les gusta nada a los servidores de correo.
• Falta DMARC por completo. Empieza con «p=none»: así primero observas antes de ponerte más estricto.
• La clave DKIM es demasiado corta. Google exige al menos 1.024 bits y recomienda 2.048 bits.

Ir endureciendo paso a paso

DMARC tiene tres niveles: «none» (solo observar), «quarantine» (los correos sospechosos van a spam) y «reject» (rechazar). Quien salta directamente a «reject» a veces deja fuera su propio programa de facturación. Es más inteligente empezar con «none», leer los informes durante unas semanas, añadir todos los remitentes legítimos y luego endurecer la política paso a paso. Al final, así también proteges a tus clientes, porque los estafadores apenas podrán usar tu dominio para facturas falsas.

¿Y si aun así algo acaba en spam?

Unos registros correctos son la entrada, pero no toda la fiesta. Los buzones también valoran el contenido y la reputación de tu dominio. Algunas cosas que suelen ayudar:

• No envíes correos masivos desde tu buzón normal a cientos de destinatarios, sino a través de un servicio de newsletter con enlace de baja – y solo a personas que hayan dado su consentimiento.
• Evita asuntos en mayúsculas, muchos signos de exclamación y correos que consisten solo en una imagen.
• Mejor envía los adjuntos grandes como enlace a una descarga segura.
• Vigila la tasa de spam: Google fija el límite en un 0,3 por ciento de quejas; mejor quedarse claramente por debajo.

Si aun así desaparece un correo importante, ayuda el mensaje de error que a menudo vuelve. Parece críptico, pero suele contener el motivo en una línea. Simplemente reenvíanoslo – para nosotros es como una radiografía.

¿El DNS te suena a sótano sin luz? El Monstruo del Email configura SPF, DKIM y DMARC por ti, revisa todos los servicios de envío y te explica el resultado en dos frases. Con todo lo relacionado con tus dominios te ayuda el Monstruo de los Dominios.