¿Hablamos?

Por qué tu correo acaba en spam: SPF, DKIM y DMARC explicados

Tabla de contenidos
Artículos relacionados

Mandas un presupuesto a un cliente y nunca lo recibe. O, peor aún, alguien envía facturas falsas en nombre de tu empresa y tus contactos pican. Detrás de casi todos estos casos hay un dominio mal configurado en SPF, DKIM y DMARC. Son tres registros de tu DNS que le dicen al mundo quién puede enviar correo en tu nombre. Sin ellos, los servidores de Gmail, Outlook y compañía no tienen forma de distinguir tu correo legítimo de una suplantación, y ante la duda, lo mandan a spam o lo bloquean. Te explicamos qué hace cada uno y qué deberías revisar, sin tecnicismos innecesarios.

El problema: cualquiera puede escribir tu dirección en el «De»

El protocolo de correo nació sin autenticación. Por diseño, cualquier servidor del mundo puede enviar un mensaje poniendo tunombre@tuempresa.com en el remitente, igual que cualquiera puede escribir tu dirección en el sobre de una carta. No hay nada que lo impida de serie. SPF, DKIM y DMARC son la capa que se añadió después para cerrar ese agujero. Permiten que el servidor que recibe el mensaje compruebe si quien lo envía está realmente autorizado por tu dominio. Si no implementas estos mecanismos, le pones fácil tanto a los suplantadores como a los filtros antispam, que penalizan al correo no autenticado.

SPF: qué servidores pueden enviar por ti

SPF (Sender Policy Framework) es una lista pública de los servidores autorizados a enviar correo con tu dominio. Se publica como un registro en tu DNS. Cuando llega un mensaje, el servidor de destino mira el dominio del remitente, consulta esa lista y comprueba si el servidor que se lo está enviando aparece en ella. Si no aparece, el correo es sospechoso.

El fallo más habitual en PYMEs es tener SPF, pero incompleto. Se contrata una herramienta de email marketing, una plataforma de facturación o un CRM que envía notificaciones, y nadie añade ese nuevo emisor al registro. Esos correos legítimos fallan entonces la comprobación y acaban en spam. SPF solo es útil si refleja todos tus emisores reales.

DKIM: una firma que demuestra que el mensaje es tuyo

DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada mensaje que sale de tu dominio. Funciona con un par de claves: una privada, que vive en tu servidor de correo y firma los envíos, y una pública, que publicas en tu DNS para que cualquiera pueda verificar esa firma. El servidor de destino comprueba dos cosas: que el mensaje viene de quien dice venir y que nadie lo ha manipulado por el camino. Mientras SPF valida el servidor de origen, DKIM valida el mensaje en sí. Por eso se complementan, y tener los dos da una señal mucho más fuerte de legitimidad que tener solo uno.

DMARC: qué hacer cuando algo no cuadra

SPF y DKIM comprueban, pero no deciden qué pasa si fallan. Esa decisión la toma DMARC. Es la política que le dices al mundo: «si un correo con mi dominio no pasa SPF ni DKIM, recházalo» (o ponlo en cuarentena, o solo avísame). DMARC es lo que de verdad frena la suplantación de tu dominio, porque sin él un atacante puede mandar correos falsos y, aunque fallen las comprobaciones, nadie ha indicado que se bloqueen.

DMARC tiene otra ventaja: los informes. Configurado correctamente, recibes resúmenes de quién está enviando correo con tu dominio, lo que te permite detectar intentos de suplantación y emisores legítimos que aún no habías autorizado.

Qué deberías revisar en tu dominio

  • ¿Tienes registro SPF y refleja todos los servicios que envían correo en tu nombre (correo, marketing, facturación, CRM)?
  • ¿Está DKIM activo en tu servidor de correo y publicada su clave pública en el DNS?
  • ¿Existe una política DMARC y está haciendo algo más que «solo observar»?
  • ¿Estás recibiendo y leyendo los informes DMARC, o se pierden sin que nadie los mire?
  • ¿Cuando contratas un servicio nuevo que envía correos, alguien actualiza estos registros?

Si respondes «no lo sé» a varias, es probable que tengas un problema de entregabilidad o de seguridad latente. Mantener esta configuración alineada de forma continua es justo el tipo de tarea que cubre un servicio de correo empresarial gestionado: que tu correo llegue y que nadie pueda suplantarte.

Mismo síntoma, cinco causas distintas

En un mismo periodo atendimos a seis clientes con la misma queja («mis correos no llegan») y detrás había cinco causas raíz diferentes (casos reales de soporte, anonimizados):

  • Un SPF mal construido que no incluía todos los servicios que enviaban en nombre del dominio.
  • Greylisting del servidor receptor: el correo llegaba, pero con hasta 4 horas de retraso, que el remitente vivía como «no llega».
  • Adjuntos por encima del límite del servidor de destino, rechazados sin que el usuario entendiera el mensaje de error.
  • Un cliente de correo configurado con el puerto 25 sin cifrar, que muchos servidores ya rechazan directamente.
  • Un envío masivo involuntario que degradó la reputación del dominio durante días.

«El correo no llega» describe un síntoma y no dice cuál es la causa. Antes de tocar registros DNS a ciegas, hay que mirar las cabeceras y los registros del servidor para saber en cuál de estos escenarios estás.

¿Tus correos llegan donde deben?

Si no estás seguro de cómo está configurado tu dominio, merece la pena revisarlo antes de que un correo importante se pierda o alguien suplante tu identidad. En Elimática gestionamos el correo corporativo de extremo a extremo, incluida la autenticación SPF, DKIM y DMARC. Cuéntanos tu caso y revisamos juntos cómo está tu dominio.

Preguntas frecuentes

¿Qué es SPF, DKIM y DMARC?

Son tres registros que se publican en el DNS de tu dominio y que sirven para demostrar que un correo lo has enviado tú. SPF declara qué servidores están autorizados a enviar en tu nombre, DKIM firma criptográficamente cada mensaje para probar que no lo han manipulado por el camino y DMARC decide qué hacer cuando alguna de las dos comprobaciones falla. Sin ellos, cualquiera puede poner tu dirección en el remitente y los filtros de Gmail u Outlook penalizan incluso tu correo legítimo.

¿Cómo funciona SPF?

SPF es una lista pública de los servidores autorizados a enviar correo con tu dominio, publicada como registro TXT en tu DNS. Cuando llega un mensaje, el servidor de destino mira el dominio del remitente, consulta esa lista y comprueba si quien se lo está enviando aparece en ella; si no aparece, el correo queda marcado como sospechoso. El fallo más habitual no es no tenerlo, sino tenerlo incompleto, porque se contrata una herramienta de email marketing, de facturación o un CRM que envía notificaciones y nadie añade ese emisor al registro.

¿Cuál es la diferencia entre DKIM y DMARC?

DKIM comprueba y DMARC decide. DKIM añade una firma criptográfica al mensaje que verifica que sale de tu dominio y que nadie lo ha alterado, pero no indica qué hacer si la firma falla. DMARC es la política que publicas para decirle al mundo si un correo que no pasa SPF ni DKIM debe rechazarse, ponerse en cuarentena o solo reportarse, y además te envía informes de quién está enviando correo con tu dominio.

¿Para qué sirve el registro DMARC?

Sirve para dos cosas. La primera es frenar la suplantación de tu dominio, porque le dice al servidor que recibe qué hacer con los correos falsos que no superan las comprobaciones, algo que SPF y DKIM por sí solos no determinan. La segunda son los informes agregados, que te muestran quién está enviando correo en tu nombre y te permiten detectar tanto intentos de fraude como servicios legítimos que todavía no habías autorizado.

¿Qué es «DMARC policy not enabled»?

Es el aviso que dan las herramientas de comprobación cuando tu dominio no tiene registro DMARC o lo tiene en modo observación, con la política puesta en p=none. En ese estado recibes informes pero no se bloquea nada, así que quien falsifique tu dominio sigue pudiendo enviar sin que nadie lo pare. El camino correcto es empezar en observación, revisar los informes hasta tener localizados todos los emisores legítimos y endurecer después la política a cuarentena o rechazo.

¿Cómo hacer un registro SPF?

Se publica como un registro TXT en la raíz de tu dominio que empieza por v=spf1, enumera todos tus emisores reales, normalmente mediante las inclusiones que indica cada proveedor, y termina diciendo qué hacer con el resto. Hay dos reglas que se saltan a menudo. Solo puede existir un registro SPF por dominio, y el estándar limita a diez las consultas DNS que provoca, así que encadenar inclusiones acaba rompiéndolo en silencio. Antes de publicarlo, inventaría todos los servicios que mandan correo en tu nombre.

¿Cómo hacer que tu correo no sea spam?

Lo primero es autenticar el dominio con SPF, DKIM y DMARC coherentes entre sí, porque desde 2024 Gmail y Yahoo exigen esa autenticación a quien envía volumen y el correo sin autenticar se penaliza de serie. Después van los detalles que también pesan, como no enviar desde puertos sin cifrar, separar los envíos masivos del dominio con el que hablas con tus clientes y vigilar la reputación de tu IP y tu dominio. Y si aun así no llega, se miran las cabeceras del mensaje antes de tocar el DNS a ciegas.

¿Por qué mis correos empezaron a llegar a spam si antes funcionaban?

Casi siempre hay un cambio detrás, como un proveedor de correo nuevo, una herramienta de envíos añadida sin actualizar el SPF o un endurecimiento de los filtros de Gmail y Outlook, que cada vez exigen más autenticación. Pero «no llega» es solo el síntoma. En un mismo periodo atendimos seis casos con esa queja y detrás había cinco causas distintas, desde un SPF incompleto hasta greylisting que retrasaba horas la entrega, adjuntos por encima del límite del destino, un cliente configurado en el puerto 25 sin cifrar o un envío masivo que degradó la reputación del dominio.

Contactar