Qué hacen los tres registros
Cuando envías un email, la bandeja de entrada del otro lado hace dos preguntas al DNS de tu dominio. ¿Este servicio puede enviar por este dominio? ¿Y qué hago si no puede? Tres registros responden.
- SPF enumera los servicios que pueden enviar email por tu dominio, como Google Workspace, Microsoft 365 o tu herramienta de newsletter.
- DKIM pone una firma en cada email. La bandeja de entrada la comprueba con una clave en tu DNS. Cada servicio que envía por ti tiene su propia clave, guardada con un nombre llamado selector.
- DMARC dice a la bandeja de entrada qué hacer con un email que falla en ambos: dejarlo pasar, mandarlo a spam o rechazarlo. También pide a las bandejas de entrada que te envíen informes.
Desde 2024, Gmail y Yahoo esperan SPF, DKIM y DMARC de quien envía mucho email. Sin ellos, más de tu email acaba en spam, y cualquiera puede enviar emails que parecen tuyos.
Cómo usar el comprobador
- Escribe tu dominio, como tuempresa.com, y pulsa Comprobar.
- Lee las tarjetas de SPF y DMARC. Cada línea dice lo que encontramos, en palabras sencillas, y si tienes que hacer algo.
- Para DKIM, escribe el selector que te dio tu servicio de email, o pulsa Probar selectores comunes.
- Si falta algo, copia el registro de Registros que añadir o cambiar y añádelo donde gestionas el DNS de tu dominio.
Dónde añadir un registro
Los registros se añaden en la empresa que gestiona el DNS de tu dominio. Suele ser donde compraste el dominio, como GoDaddy, Namecheap, Squarespace o Cloudflare, o tu proveedor de hosting. El comprobador nombra la empresa cuando la conoce.
- Entra allí y busca la página llamada DNS, Registros DNS o Editor de zona.
- Añade un registro de tipo TXT.
- Copia el nombre y el valor desde el comprobador. La mayoría de las páginas de DNS añaden tu dominio al nombre por su cuenta, así que usa el nombre corto, como _dmarc. Para el propio dominio, el nombre es @.
- Guarda, espera unos minutos y vuelve a comprobar. Algunos cambios tardan hasta un día en verse.
Nunca añadas un segundo registro SPF. Cambia el que tienes y pon en él cada servicio.
SPF en palabras sencillas
- ~all al final marca como sospechoso el email de otros remitentes. Con DMARC activo, es la opción habitual.
- -all hace que falle el email de otros remitentes. Estricto, y correcto cuando cada servicio que envía por ti está en la lista.
- ?all no dice nada de otros remitentes, y +all deja a cualquiera enviar en tu nombre. Cambia los dos a ~all.
- El límite de 10 consultas. Cada include, a, mx, ptr, exists y redirect hace que la bandeja de entrada consulte algo, y los include dentro de un include también cuentan. Por encima de 10, SPF falla en cada email. El comprobador las cuenta por ti. Para bajar del límite, quita los servicios que ya no usas.
DMARC en palabras sencillas
- p=none solo recoge informes. Un buen primer paso mientras descubres quién envía en tu nombre.
- p=quarantine manda a spam el email que falla. Pasa a esta cuando los informes muestren solo tus propios servicios.
- p=reject rechaza el email que falla. El ajuste más fuerte.
- rua es la dirección a la que van los informes. Sin ella no recibes ninguno.
- pct por debajo de 100 aplica la política solo a una parte del email que falla. sp fija una política aparte para los subdominios.
FAQ
¿Necesito SPF, DKIM y DMARC?
Si envías email desde tu propio dominio, sí. Gmail y Yahoo esperan los tres de quien envía mucho email, y cualquier dominio está más seguro con ellos, porque impiden que otros envíen email en tu nombre.
¿Qué es un selector DKIM?
El nombre de una clave. Cada servicio que firma tu email tiene el suyo, y la clave está en el DNS en selector._domainkey.tudominio.com. Google Workspace usa google, Microsoft 365 usa selector1 y selector2, y Mailchimp usa k2 y k3. Amazon SES y Postfjord crean selectores largos y aleatorios para cada dominio, que encuentras en su pantalla de configuración.
¿Por qué falla mi SPF con demasiadas consultas?
Cada servicio que incluyes puede incluir otros, y todos cuentan para un límite de 10. Si lo pasas, la bandeja de entrada deja de comprobar y SPF falla. Quita los servicios que ya no usas, o pregunta a un servicio si puede enviar desde su propio subdominio.
¿Es seguro p=none?
Es seguro para tu email, porque no se bloquea nada. Pero no protege tu nombre: el email que falla llega igual. Úsalo unas semanas mientras lees los informes y luego pasa a quarantine.
¿El comprobador envía mi dominio a Postfjord?
No. Tu navegador pide los registros al DNS público de Cloudflare, y el comprobador lee las respuestas en tu navegador. Nada se envía a Postfjord ni se guarda.
¿Puede Postfjord enviar email desde mi dominio?
Sí. Con postmail, tus campañas y automatizaciones pueden salir de una dirección en tu propio dominio con cualquier plan de pago. Añades tres registros, y Postfjord los revisa y te avisa cuando el dominio está listo. Cómo funciona