Desde el primer trimestre de 2024, Google y Yahoo exigen que cualquier dominio que envíe más de 5.000 correos al día a sus usuarios tenga correctamente configurados SPF, DKIM y DMARC. Pero la realidad es que estos protocolos deberían estar activos en cualquier dominio que usa el email para comunicarse con clientes, aunque envíe diez correos al mes.
Si no sabes qué significan estas siglas o no estás seguro de si tu dominio los tiene bien configurados, esto es lo que necesitas saber.
Por qué existen estos protocolos
El correo electrónico se diseñó en los años setenta sin mecanismos de verificación de identidad. Eso significa que cualquiera puede enviar un email fingiendo ser cualquier persona o empresa. Sin autenticación, un correo que aparentemente llega de tu banco o de tu proveedor de servicios puede venir de cualquier servidor del mundo.
Los protocolos SPF, DKIM y DMARC son la respuesta a ese problema. Según el informe State of the Phish 2023 de Proofpoint, el 90% de las organizaciones en España sufrió al menos un ataque de phishing exitoso en 2022. Estos protocolos no eliminan el phishing, pero sí hacen que sea mucho más difícil suplantar un dominio legítimo.
SPF: quién puede enviar email en tu nombre
El SPF (Sender Policy Framework) es un registro DNS que lista los servidores autorizados a enviar correos usando tu dominio. Cuando alguien recibe un email supuestamente tuyo, el servidor receptor comprueba si el IP de origen está en tu registro SPF. Si no lo está, el correo puede ser marcado como spam o rechazado.
Un registro SPF básico tiene este aspecto:
v=spf1 include:_spf.google.com ~allEse ejemplo autoriza a los servidores de Google (si usas Google Workspace) a enviar en nombre de tu dominio. El ~all al final indica que los correos de servidores no listados deben ser tratados con cautela (softfail). Si pones -all, se rechazarán directamente.
DKIM: la firma digital de cada correo
El DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada correo que envías. El servidor receptor puede verificar esa firma usando una clave pública que publicas en tu DNS. Si la firma no coincide, significa que el correo ha sido modificado en tránsito o que no viene realmente de tu dominio.
DKIM es especialmente útil porque protege tanto contra la suplantación como contra la manipulación del contenido del correo durante el envío.
DMARC: la política que une SPF y DKIM
DMARC (Domain-based Message Authentication, Reporting and Conformance) es el nivel siguiente. Define qué debe hacer el servidor receptor cuando un correo falla la verificación SPF o DKIM: puede ignorarlo (none), mandarlo a spam (quarantine) o rechazarlo directamente (reject).
Además, DMARC permite recibir informes sobre los correos que han fallado la autenticación. Esos informes son muy útiles para detectar si alguien está intentando suplantar tu dominio o si hay servidores legítimos que no has incluido en tu SPF.
Un registro DMARC básico para empezar:
v=DMARC1; p=none; rua=mailto:[email protected]Empieza con p=none para monitorizar sin bloquear nada. Una vez que hayas comprobado que todos tus envíos legítimos pasan la autenticación, pasa a p=quarantine y luego a p=reject.
Por qué esto afecta directamente a tu email marketing
Si usas una plataforma de email marketing (Mailchimp, Acumbamail, Klaviyo…) para enviar campañas desde tu dominio, necesitas que SPF y DKIM estén configurados para incluir esa plataforma. Si no lo están, tus correos pueden acabar en spam incluso si la lista está bien segmentada y el contenido es relevante.
Los requisitos de Google y Yahoo afectan sobre todo a volúmenes altos, pero los filtros de spam aplican los mismos criterios a todos. Si quieres saber más sobre cómo construir una estrategia de email marketing que funcione, el post sobre email marketing: guía práctica para empezar bien cubre los fundamentos del canal. Y para contexto histórico sobre cómo ha evolucionado el email hasta aquí, el artículo sobre la historia del email: de ARPANET al marketing con IA explica por qué el canal sigue siendo el más rentable del marketing digital.
Cómo comprobar tu configuración actual
Antes de tocar nada, comprueba cómo está tu dominio ahora mismo. Herramientas como MXToolbox, DMARC Analyzer o el comprobador de email de Google Postmaster Tools permiten ver en segundos si tienes SPF, DKIM y DMARC configurados y si hay errores en los registros.
Si tu dominio está alojado en un hosting con panel cPanel o Plesk, los registros DNS se gestionan desde la sección de «zona DNS». Si usas Google Workspace o Microsoft 365, el proveedor te guiará paso a paso por la configuración de DKIM desde su panel de administración.
Preguntas frecuentes
¿Es obligatorio tener DMARC si no envío muchos correos?
Obligatorio solo lo es para volúmenes superiores a 5.000 correos diarios a usuarios de Gmail o Yahoo. Pero configurarlo siempre es recomendable porque protege tu dominio frente a suplantaciones y mejora la entregabilidad del correo, independientemente del volumen.
¿Qué pasa si no tengo SPF configurado?
Sin SPF, los servidores receptores no pueden verificar que el correo viene realmente de tu dominio. Eso aumenta la probabilidad de que tus correos acaben en la carpeta de spam, incluso los transaccionales como confirmaciones de pedido o recuperación de contraseña.
¿Puedo tener varios registros SPF para el mismo dominio?
No. Solo puede haber un registro SPF por dominio. Si usas más de un proveedor (por ejemplo, Google Workspace para el correo corporativo y Mailchimp para las campañas), tienes que combinar ambos en un solo registro usando include:.
¿Qué es el BEC y por qué es tan peligroso?
BEC (Business Email Compromise) es un tipo de fraude en el que el atacante suplanta a un directivo o proveedor para redirigir pagos o conseguir información sensible. Es uno de los ataques con mayor impacto económico según el FBI. DMARC bien configurado hace mucho más difícil que alguien use tu dominio para este tipo de ataques.
