Email Seguro en 3 pasos: SPF, DKIM y DMARC

«Email enviado» – Y al leer esto crees que se ha enviado correctamente y lo leerán pronto, cierras el ordenador en ese momento y a la espera de una respuesta si así fuera…

¿Alguna vez te ha pasado, que has enviado un correo electrónico importante y ha terminado en la bandeja de Spam? O… ¿Qué ni siquiera ha llegado?

Esto llega a ser un problema importante, sobre todo si gestionas una web, una tienda online o una empresa, ya que tus emails podrían no estar llegando a su destinatario, y ser muy importantes o urgentes, ya que pueden estar siendo rechazados o ignorados sin tu conocimiento.

Algunos proveedores de correo más conocidos, como Google, Microsoft y Yahoo, en 2024 endurecieron sus políticas. Esto significa, que si tu dominio no tiene correctamente las protecciones configuradas SPF, DKIM y DMARC, tus correos se consideran inseguros o directamente fraudulentos.

En esta guía te explicamos qué es cada tecnología, por qué es crucial, y cómo configurarla paso a paso para mejorar la entregabilidad, proteger tu marca y asegurar tu reputación como remitente.

¿Por qué tus correos pueden ir a Spam (o ni llegar)?

Cuando envías un email desde @tuempresa.es, ha de pasar unos filtros de los proveedores del destinatario (Gmail, Outlook…), analiza una serie de factores que deciden si el mensaje es fiable o no. Si estos no detectan autenticación, los filtros antispam tienden a ser muy agresivos, ignorándolo o rechazándolo directamente.

Los tres mecanismos principales para validar la autenticidad de tu email son:

• SPF: ¿Está autorizado este servidor para enviar correos en nombre de tu dominio?
  
• DKIM: ¿Ha sido modificado este mensaje desde que lo envió tu servidor?
  
• DMARC: ¿Qué hacer si SPF y/o DKIM fallan?

Dependiendo de las respuestas detectadas desde estos parámetros, el correo electrónico que se envía desde tu empresa, será aceptado, descartado o ignorado (terminando en la bandeja de spam).

¿Qué es SPF y cómo funciona?

SPF (Sender Policy Framework) es un registro DNS tipo TXT que define qué servidores están autorizados a enviar emails desde tu dominio.

Cuando un servidor recibe un email de [email protected], consulta ese registro SPF para comprobar si la IP emisora está en la lista. Si no lo está, puede marcar el mensaje como spam o directamente rechazarlo.

Ejemplo de registro SPF básico:

v=spf1 include:_spf.nebulacloud.es ~all

¿Qué significa?

• v=spf1: versión del protocolo SPF.
• include:_spf.nebulacloud.es: permite a los servidores de NebulaCloud enviar correos.
• ~all: todo lo que no esté permitido se marca como «softfail» (sospechoso).

Consejo: Si tienes más proveedores (como Mailchimp o Google Workspace), añade sus includes al SPF.
Cuidado: no pongas más de un registro SPF en el DNS; solo se permite uno por dominio.

¿Qué es DKIM y cómo te protege?

DKIM (DomainKeys Identified Mail) añade una firma digital única a los emails que salen de tu servidor. Esa firma se genera con una clave privada, y el destinatario la confirma usando la clave pública que tú haces pública como registro DNS.

¿De qué protege DKIM?

• Verifica que el contenido del mensaje no haya sido modificado en su trayecto.
• Confirma que el mensaje proviene efectivamente del dominio remitente.

¿Cómo se ve un registro DKIM?

El nombre del registro suele ser algo como:

nebulacloud._domainkey.tuempresa.es

Y el valor es una clave larga que empieza por:

v=DKIM1; k=rsa; p=MIGfMA0GCSqG

La mayoría de paneles (como cPanel, DirectAdmin o Plesk) permiten generar automáticamente esta clave y te dan el registro listo para copiar en el DNS.

¿Qué es DMARC y por qué es la pieza clave?

DMARC (Domain-based Message Authentication, Reporting and Conformance) combina SPF y DKIM para decirle al servidor del destinatario qué hacer si falla alguno (o ambos).

Además, permite recibir informes sobre quién está enviando correos en nombre de tu dominio (legítimo o no).

Ejemplo de registro DMARC:

_dmarc.tuempresa.es TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"

¿Qué significa?

• v=DMARC1: versión del protocolo (obligado, siempre igual).
• p=quarantine: si falla, enviar a spam (los correos que no pasen SPF/DKIM).
• rua=mailto:[email protected]: envía informes agregados sobre el cumplimiento del DMARC (útil para monitorizar).

Puedes empezar con p=none para solo recibir informes sin actuar, y después subirlo a quarantine o reject para proteger tu dominio. Te dejamos con más detalle a continuación, las posibles mejoras de lo que puedes configurar según sean tus objetivos.

Recuerda: No poner espacios extra, ni comas, ni saltos de línea. Algunos paneles de DNS (como GoDaddy) tienen interfaces limitadas. En ese caso, mejor prueba primero una versión más simple.

¿Quieres bloquear en lugar de poner en cuarentena?

• Usa p=reject si quieres que se rechacen directamente los emails que no pasen SPF/DKIM.

¿Quieres incluir informes forenses (detallados)?

• Añade ruf=mailto:[email protected] (no todos los servicios los mandan, y algunos requieren habilitación especial).

Añadir porcentaje de aplicación (opcional, para pruebas):

• Ej: pct=50 (solo aplica la política al 50% del tráfico, útil para empezar con quarantine).
  

Te dejamos un ejemplo de una posible configuración más completa, ya que todos los parámetros son válidos para aplicar al mismo tiempo y combinables entre ellos, siempre según tus objetivos:

v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100; fo=1

Esta combinación tiene los siguientes efectos:

• Aplica rechazo total (reject) si no se pasa SPF/DKIM.
• Hace lo mismo para subdominios (sp=reject).
• Recibe informes agregados y forenses por email.
• Se aplica al 100% del tráfico (pct=100).
• Con fo=1 se indica que se informe si falla SPF o DKIM (no requiere que fallen ambos).

¿Por qué es tan importante configurar todo esto?

Principalmente, para prevenir, asegurar y enviar tus emails, con la certeza de que van a llegar al destinatario y a la bandeja de entrada correctamente. Y más específicamente hay otras razones como estas:

Evitas el spoofing:
Cualquiera podría enviar correos fingiendo ser tú, en caso de no tener todas las protecciones.

Aumentas tu tasa de entrega:
Los filtros antispam priorizan los emails firmados y validados.

Mejoras la reputación de tu dominio:
Si no configuras correctamente DMARC, proveedores principales como Google y Outlook lo monitorizan y penalizan tu dominio.

Recibes alertas tempranas:
Prevención, DMARC te informa si alguien abusa de tu dominio.

Cumples normativas:
Muchas leyes y plataformas (como Shopify o Stripe) ya lo exigen.

Cómo configurar Email Seguro, paso a paso en NebulaCloud

1. Accede a tu panel DNS (desde cPanel o el área de cliente NebulaCloud).
   
2. Añade o edita el registro SPF con tus proveedores de correo.
   
3. Genera claves DKIM desde tu panel y copia el registro al DNS.
   
4. Añade el registro DMARC con política inicial p=none y un correo para informes.
   
5. Verifica con MXToolbox, Google Postmaster Tools o dmarcian.com.

¿Usas WordPress? Asegura tus correos y tu web en un solo paso.
Activa SPF, DKIM y DMARC con nuestro soporte y consigue –10 % en Hosting WordPress con el código WORDPRESS10. Ver planes

No caigas en los errores de siempre

Muchas empresas cometen este tipo de errores, revisa todo bien antes enviar emails importantes:

• Usan múltiples registros SPF (solo se permite uno).
  
• Tienen SPF sin efecto (+all = deja pasar todo).
  
• Generan DKIM pero no publican el TXT.
  
• Creen que DMARC es opcional (no lo es en 2025).

Una de las soluciones es solicitar una auditoría rápida de tu dominio y saber en el estado que se encuentra realmente, confirmar si es apta y fiable.

Preguntas frecuentes

• ¿Cuánto tarda en propagarse un cambio SPF o DKIM?
  Depende del TTL, pero suele verse reflejado en unos 15–30 minutos.

• ¿Puedo usar SPF sin DKIM o viceversa?
  Sí, pero no es recomendable. DMARC requiere al menos uno de los dos para funcionar.

• ¿Necesito cambiar algo si uso Google Workspace o Microsoft 365?
  Sí, debes añadir los registros específicos de esos servicios, además del de NebulaCloud.

• ¿Puedo recibir informes DMARC aunque no actúe sobre los correos?
  Sí. Usa política p=none al principio para recibir informes sin bloquear nada.

¿Te ayudamos a dejar de caer en Spam?

Solicita tu configuración gratuita de SPF, DKIM y DMARC con NebulaCloud.
Incluimos validación, informes y alertas. Soporte técnico 24×7×365.

Contacta directamente y te atenderemos amablemente y resolviendo tus dudas sobre el entorno email de tu empresa aquí.

«Da igual como quieras llamarle, email o correo, lo importante es que llegue a su destino correctamente»