SPF, DKIM y DMARC explicados para dueños de negocios

Si tus facturas llegan a la carpeta de spam, o un cliente te dice que recibió un correo "tuyo" que nunca enviaste, la solución casi siempre pasa por tres registros DNS: SPF, DKIM y DMARC. Aquí te explico qué hace cada uno, en lenguaje claro, y cómo saber si los tuyos están bien configurados.

Los dos problemas que resuelven estos registros

Entregabilidad. Los servidores de correo de Google, Microsoft y el resto deciden, mensaje por mensaje, qué va a la bandeja de entrada y qué va a spam, y una de las primeras cosas que revisan es si el remitente puede demostrar que el mensaje salió del dominio que aparece en el campo De. Si tunegocio.com no hace esa afirmación, o la prueba falla, tu factura o tu recordatorio de cita compite con el montón de spam.

Suplantación. El correo electrónico se diseñó de modo que cualquiera puede escribir cualquier dirección en el campo De. Sin estos registros, un estafador puede enviar un mensaje "desde" facturacion@tunegocio.com pidiéndoles a tus clientes que paguen a una cuenta bancaria nueva, y nada lo detecta. Estos registros son la mitad que corresponde al correo dentro de la seguridad básica que todo negocio pequeño debería tener.

SPF: quién tiene permiso para enviar por tu dominio

SPF es una línea de texto en el DNS de tu dominio que enumera los servidores autorizados a enviar correo como tu dominio; el receptor revisa si el servidor que entregó el mensaje está en esa lista. Para un negocio que usa Google Workspace y una herramienta de facturación, se ve así:

v=spf1 include:_spf.google.com include:mail.herramientadefacturas.example ~all

Cada include: apunta a un servicio que usas; el ~all del final dice "trata todo lo demás como sospechoso."

Dos reglas importan más que el resto. Primera: un dominio tiene exactamente un registro SPF. Si agregas un segundo, casi siempre por pegar el valor de una herramienta nueva como registro aparte en vez de editar el existente, los dos quedan inválidos. Segunda: el registro tiene que incluir todos los servicios que envían como tú: el proveedor de correo, el programa de facturación, la plataforma de boletines o CRM, el sistema de citas y el plugin del formulario de contacto de tu sitio web. Si olvidas uno, el correo de ese servicio falla en silencio. Un límite que conviene conocer: SPF permite como máximo diez consultas DNS por verificación, y cada include: cuenta.

DKIM: una firma que demuestra que el mensaje no fue alterado

DKIM agrega una firma digital a cada mensaje que sale. El servicio que envía lo firma con una clave privada, tú publicas la clave pública correspondiente en el DNS, y los receptores la usan para confirmar que el mensaje pasó por ese servicio y llegó sin cambios. A diferencia de SPF, la firma sobrevive cuando alguien reenvía el correo.

Configurarlo es, en su mayor parte, copiar y pegar: en el panel de administración de tu proveedor de correo, activa DKIM, pega el nombre de host y la cadena larga de texto que te entrega en el DNS como registro TXT (algunos usan CNAME), y vuelve al panel para verificar. Cada servicio que envía por ti tiene su propia clave, así que repites el paso con la herramienta de boletines, la de facturación y las demás.

DMARC: la política y los reportes

SPF y DKIM responden cada uno una pregunta; ninguno dice qué hacer con la respuesta. DMARC es la política. Es un registro TXT en _dmarc.tunegocio.com que le indica al receptor qué hacer cuando un mensaje que dice venir de tu dominio falla las verificaciones, y a dónde enviar los reportes. También exige alineación: el dominio visible en el campo De tiene que coincidir con el dominio que SPF o DKIM validaron, de modo que un estafador no pueda pasar las verificaciones con su propio dominio mientras muestra el tuyo.

p=none significa solo monitorear: entregar todo como siempre, pero enviar reportes. p=quarantine manda los fallos a spam. p=reject los rechaza. Un registro inicial se ve así:

v=DMARC1; p=none; rua=mailto:dmarc@tunegocio.com

Empieza en none, porque los reportes te van a mostrar remitentes que habías olvidado. Llegan como archivos XML; un visor gratuito los convierte en una lista legible de quién envía como tu dominio y si pasa o no. Cuando todo lo legítimo pase, sube a quarantine y luego a reject. No te quedes en none para siempre: no protege a nadie. Los receptores siguen entregando la suplantación; a ti solo te avisan después. La mayoría de los negocios pequeños puede llegar a reject en un par de meses. La guía de Google para configurar DMARC en un dominio explica el proceso con más detalle.

Dónde viven estos registros

Los tres son registros DNS, y el DNS se administra donde apuntan los nameservers de tu dominio: normalmente el registrador donde compraste el dominio, o Cloudflare si alguien lo movió ahí. No es necesariamente el mismo lugar donde está alojado tu correo. Por eso necesitas saber quién controla tu DNS. Si el acceso lo tiene un diseñador web anterior o una agencia con la que ya no trabajas, no puedes hacer estos cambios, y tampoco puede hacerlos nadie que contrates. Si la respuesta honesta es "no estoy seguro," averiguarlo va antes que cualquier paso técnico.

Errores comunes

Dos registros SPF. El fallo más frecuente que veo. Únelos en uno solo.
Un servicio de envío olvidado. El correo normal llega bien, pero las facturas o las confirmaciones de cita caen en spam. Esa herramienta no está en el SPF y no tiene clave DKIM.
DMARC sin alineación. La herramienta de boletines pasa SPF con su propio dominio, pero tu dirección De es tunegocio.com, así que DMARC falla. Casi todas permiten verificar un dominio de envío propio; úsalo.
Cambiar de proveedor de correo y dejar los registros viejos. El include: anterior se queda en el SPF, y cualquiera que entre a esa cuenta abandonada puede seguir enviando correo autenticado como tú. Elimina lo que ya no usas.
Un formulario web que envía "desde" la dirección del visitante. Muchos plugins de formulario ponen el Gmail del visitante en el campo De; tu servidor no puede enviar por gmail.com, el mensaje falla y nunca ves al cliente potencial. Envía desde formularios@tunegocio.com y pon al visitante en Reply-To.

Cómo revisar tu configuración

Las herramientas gratuitas de consulta (busca un verificador de SPF o DMARC) leen tus registros y señalan los problemas evidentes: un registro ausente, dos SPF, demasiadas consultas, una política estancada en none. Después haz la prueba real. Envía un mensaje desde cada servicio de envío, no solo desde tu buzón principal, a una cuenta de Gmail o Outlook que controles. Ábrelo, elige "Mostrar original" o "Ver código fuente del mensaje," y busca la línea que empieza con Authentication-Results:. Quieres ver spf=pass, dkim=pass y dmarc=pass; cualquier otra cosa te dice exactamente qué registro necesita atención para ese servicio.

Lo que esto no arregla

La autenticación demuestra quién envió un mensaje, no si el mensaje es bienvenido. Asuntos en mayúsculas, acortadores de enlaces, una sola imagen gigante sin texto, o un boletín enviado a una lista comprada seguirán generando quejas que ningún registro DNS repara. Y si alguien tiene tu contraseña, su correo también sale autenticado: DMARC lo deja pasar porque salió de tu cuenta real. Para eso la respuesta es la verificación en dos pasos y una contraseña que no reutilices, que forman parte del trabajo de ciberseguridad que hago para negocios pequeños.

La lista de verificación

Registro	Qué demuestra	Dónde se configura	Tiempo típico
SPF	El servidor que entregó el mensaje está en tu lista autorizada	Proveedor de DNS, un registro TXT en tunegocio.com	Alrededor de una hora para listar todos los servicios
DKIM	El mensaje fue firmado por ese servicio y no fue alterado	Cada servicio de envío, con la clave pegada en el DNS	Quince minutos por servicio; hasta dos días para verificar
DMARC	Qué hacen los receptores con los fallos, más reportes para ti	Proveedor de DNS, un registro TXT en _dmarc.tunegocio.com	Diez minutos; de cuatro a ocho semanas antes de pasar a reject

Cuándo hacerlo tú mismo y cuándo llamar a alguien

Con un proveedor de correo, una o dos herramientas más y el acceso al DNS a la mano, puedes hacer todo esto tú mismo en una tarde. Todos los proveedores grandes publican instrucciones para su propia clave DKIM. Publica DMARC en none, lee los reportes durante unas semanas y endurece la política cuando los remitentes coincidan con lo que esperas.

Llama a alguien cuando no sepas quién controla tu DNS, cuando cinco o más servicios envíen como tu dominio, cuando los reportes muestren tráfico que no puedes explicar, o cuando a un cliente ya le hayan pedido pagar una factura falsa. Mi revisión de sitio y seguridad cuesta $250, que se acreditan a cualquier trabajo posterior, y cubre estos registros junto con el sitio web. Si prefieres preguntar primero, escríbeme y te digo si es un arreglo de diez minutos o algo más.