Por qué importan SPF, DKIM y DMARC juntos
SPF, DKIM y DMARC son tres registros DNS que permiten a otros sistemas de correo comprobar que el correo de su dominio realmente provino de usted. Cada uno cubre un hueco que dejan los demás, por lo que un dominio necesita los tres.
Hable con un ingeniero Base de conocimiento
Por qué le importa a una empresa
El correo electrónico no tiene ninguna verificación integrada de quién es el remitente. Sin estos registros, cualquiera puede poner su dominio en la línea From, de modo que una factura falsa puede llegar como si viniera de su equipo de cuentas.
También ocurre lo contrario. Los grandes proveedores desconfían del correo sin autenticar, así que las respuestas legítimas terminan en spam. Google y Yahoo exigen autenticación a los remitentes masivos desde 2024.
Qué aporta cada uno
- SPF: enumera los servidores autorizados para enviar en nombre de su dominio.
- DKIM: firma cada mensaje y demuestra qué dominio lo firmó y que nada cambió en el camino.
- DMARC: verifica que SPF o DKIM hayan pasado para el dominio de la dirección From, indica a los receptores qué hacer cuando ninguno pasó y le envía reportes.
Ninguno basta por sí solo. SPF y DKIM pueden pasar para un dominio distinto del que ve su lector, y ninguno pide al receptor que bloquee nada. DMARC necesita que uno de ellos funcione, y SPF falla con el correo reenviado, por lo que DKIM es el respaldo.
| Registro | Qué verifica | Dónde se encuentra | Qué no puede hacer |
|---|---|---|---|
| SPF | Que el servidor emisor esté en su lista | Un registro TXT en el dominio | Proteger la dirección From o sobrevivir al reenvío |
| DKIM | Que el mensaje no haya cambiado y quién lo firmó | Un registro por cada servicio que envía, bajo un selector | Indicar qué hacer con el correo sin firma o con firma rota |
| DMARC | SPF o DKIM coinciden con el dominio de From | Un registro TXT en _dmarc | Funcionar sin que SPF o DKIM estén configurados |
Errores comunes
- Dos registros SPF: un segundo registro agregado para un servicio nuevo hace que SPF falle para todo su correo.
- Un remitente que nadie agregó: la plataforma de marketing o el sistema de facturación envía como su dominio, pero nunca recibió una entrada SPF ni una clave DKIM.
- DMARC en none para siempre: la política nunca avanza, así que el correo falsificado se sigue entregando.
- Saltar directo a reject: aplicar la política antes de leer los reportes bloquea su propio correo junto con las falsificaciones.
El orden para configurarlos
- Enumere cada remitente: su proveedor de correo y cada servicio que envía correo como su dominio.
- Publique un solo registro SPF que los cubra a todos.
- Active DKIM en cada servicio que envía.
- Publique DMARC en none con una dirección de reportes y lea los reportes.
- Pase a quarantine y luego a reject cuando solo aparezcan sus propios servicios.
Los tres se encuentran en su DNS. Nuestra guía del correo empresarial cubre el resto de la configuración.
Cómo trabaja KawaConnect con la autenticación de correo
Cuando configuramos, migramos o administramos Microsoft 365, los registros SPF, DKIM y DMARC forman parte del trabajo, junto con los registros MX que enrutan el correo. En los sitios web que alojamos, un formulario de contacto que envía correo se agrega a esos mismos registros.
Servicios relacionados
Microsoft 365
Exchange Online con los tres registros configurados.
Sitios web
Alojamiento y DNS para el mismo dominio que su correo.
TI administrada
Nuevos servicios de envío agregados a los registros a medida que aparecen.
Más información
- Autenticación de correo en WikipediaUn resumen de los métodos para verificar el origen del correo.
- DMARC, DKIM y SPF en CloudflareUn recorrido por los tres registros.
- Resumen de DMARC en dmarc.orgCómo DMARC se apoya en SPF y DKIM, desde el sitio del propio estándar.
- Directrices de Google para remitentes de correoLa autenticación que Gmail espera de los remitentes.
- Autenticación de correo en Microsoft 365La guía de Microsoft sobre los tres registros en Microsoft 365.
Averigüe cómo está su dominio
Envíenos su dominio. Revisaremos sus tres registros.
Iniciar una conversación
