Cómo configurar DKIM, SPF y DMARC en tu dominio

Por qué hoy son indispensables

Desde febrero de 2024, Gmail y Yahoo endurecieron sus reglas para los remitentes:

• Todos los remitentes deben tener configurado al menos SPF o DKIM.
• Quienes envían más de 5.000 correos diarios a cuentas de Gmail deben tener SPF, DKIM y DMARC, ofrecer una forma de darse de baja con un clic y mantener una tasa de spam baja.

Aunque envíes pocos correos, sin estos registros tus mensajes tienen más probabilidades de terminar en spam. Si haces prospección en frío, es lo primero que tienes que resolver.

Antes de empezar

• Necesitas una cuenta de administrador de tu proveedor de correo: Google Workspace, Outlook (Microsoft 365), Zoho Mail u otro. Cada proveedor entrega sus propios valores de SPF y DKIM.
• Necesitas acceso al lugar donde se administra el DNS de tu dominio: el cPanel de tu hosting, Cloudflare u otro proveedor. Si no sabes dónde está, revisa a qué servidores de nombres apunta tu dominio: ahí es donde tienes que hacer los cambios.

Paso 1: configura el SPF

En el DNS de tu dominio, crea un registro de tipo TXT en la raíz (el nombre suele ser @ o el dominio solo). El valor lo entrega tu proveedor de correo. Tomando Google Workspace como ejemplo, es:

v=spf1 include:_spf.google.com ~all

Si usas otro proveedor, como Outlook o Zoho, busca en su ayuda el valor que corresponde a tu cuenta.

Si ya existe un registro que empieza con v=spf1, no crees otro: agrega el include de tu proveedor dentro del que ya tienes. Un dominio solo puede tener un SPF.

Paso 2: configura el DKIM

El DKIM siempre se obtiene desde el panel de tu proveedor de correo (Google Workspace, Outlook, Zoho u otro) y se agrega en el DNS de tu dominio. La lógica es la misma en todos: generar el registro en el panel del correo, copiarlo al DNS y volver al panel para activar la firma. Como ejemplo, tomo Google Workspace, que es el caso del video.

Ejemplo con Google Workspace

1. Entra a la consola de administración de Google Workspace (admin.google.com) con tu cuenta de administrador.
2. Ve a Aplicaciones → Google Workspace → Gmail → Autenticar correo electrónico.
3. Elige tu dominio y genera un registro nuevo. Usa una clave de 2048 bits si tu proveedor de DNS la acepta; si no, la de 1024.
4. Google te mostrará dos datos: el nombre del host (normalmente google._domainkey) y el valor del registro TXT, un código largo que empieza con v=DKIM1.
5. En el panel de tu DNS crea un registro nuevo. En cPanel: Editor de zonas → Administrar en tu dominio → Agregar registro. Elige el tipo TXT, pega el nombre del host en el nombre y el código completo en el valor, y guarda.
6. Vuelve a la consola de Google y presiona Iniciar autenticación. Si da error, es porque el cambio en el DNS todavía no se propaga: espera unas horas y vuelve a intentarlo.

Con otro proveedor los nombres de los menús cambian, pero los pasos son los mismos. Busca en su ayuda dónde se genera el registro DKIM.

Paso 3: configura el DMARC

Crea otro registro TXT con el nombre _dmarc y este valor, cambiando el correo por uno tuyo:

v=DMARC1; p=none; rua=mailto:[email protected]

Con p=none, los correos que fallen no se bloquean: solo recibes informes para revisar qué servicios envían en tu nombre. Cuando confirmes que todos tus envíos legítimos pasan SPF y DKIM, puedes subir la política a p=quarantine (enviar a spam) y, más adelante, a p=reject (rechazar).

Cómo comprobar que funciona

1. Envía un correo desde tu cuenta corporativa a una cuenta personal de Gmail.
2. Abre el correo, haz clic en los tres puntos y elige Mostrar original.
3. Arriba verás el resultado de cada protocolo. Lo que buscas es PASS en SPF, DKIM y DMARC.

Errores comunes

• Crear un segundo registro SPF en vez de editar el que ya existe.
• Copiar el DKIM incompleto o con espacios y saltos de línea de más. Copia el valor completo tal como lo entrega tu proveedor.
• Olvidar activar el DKIM en el panel del proveedor («Iniciar autenticación», en Google Workspace). Sin ese paso, los correos no se firman aunque el registro exista.
• Partir con p=reject en el DMARC: si algún servicio legítimo, como tu CRM o tu plataforma de correo masivo, no estaba autorizado, sus correos dejarán de llegar.
• Editar el DNS en el lugar equivocado. Si tu dominio usa los servidores de nombres de Cloudflare, por ejemplo, los cambios en el cPanel del hosting no tienen efecto.

Tu próximo paso: si vas a usar un correo para prospectar, configura estos tres registros también en ese dominio y caliéntalo antes de enviar tu primera campaña.