Qué son SPF, DKIM y DMARC
- SPF es un registro TXT en el DNS con la lista de servidores autorizados a enviar correo en nombre de su dominio. Un dominio solo puede tener uno, y su evaluación no puede generar más de 10 consultas DNS en total, incluidas las de los include anidados.
- DKIM es una firma digital de cada mensaje. La clave pública está en el DNS con el nombre selector._domainkey.
- DMARC (el registro _dmarc) vincula ambos con la dirección del campo De e indica al destinatario qué hacer con un mensaje que no supera la comprobación: nada (p=none), enviarlo a spam (p=quarantine) o rechazarlo (p=reject). La dirección rua recibe informes agregados.
Por qué importa a una pequeña empresa
Sin DMARC, cualquiera puede enviar un correo que parece suyo: una factura falsa con otro número de cuenta o un enlace a una página fraudulenta. Además, los grandes proveedores han endurecido sus reglas. Desde febrero de 2024, Gmail y Yahoo exigen SPF o DKIM a todos los remitentes y, a los masivos (en Gmail, más de 5.000 mensajes al día), SPF, DKIM y DMARC, alineación de dominio y una baja sencilla. Microsoft introdujo reglas parecidas para Outlook.com y Hotmail a partir de mayo de 2025 y rechaza el correo masivo que no las cumple. Incluso una pequeña empresa que envía facturas o un boletín corre el riesgo, sin los registros correctos, de que su correo acabe en spam.
Errores habituales con SPF, DKIM y DMARC
- Dos registros SPF (por ejemplo, tras cambiar de proveedor): entonces no vale ninguno.
- SPF termina en +all o ?all, así que no prohíbe nada, o supera el límite de 10 consultas por los include anidados.
- DMARC se queda años en p=none sin que nadie lea los informes; protege solo sobre el papel.
- Una herramienta de boletines, una tienda online o un programa de contabilidad envía correo en su nombre, pero no figura en SPF ni firma con DKIM.
- Un dominio que no usa el correo en absoluto no tiene ninguna protección. Ayudan null MX (MX 0 .), SPF v=spf1 -all y DMARC p=reject.
Qué comprueba WebMeter y qué no
WebMeter lee los registros DNS públicos del dominio de la organización: SPF (falta, duplicado, all débil, más de 10 consultas DNS incluidos los include anidados, referencia a un dominio sin SPF), DMARC (falta, p=none, pct parcial, dirección para informes), los selectores DKIM habituales, los registros MX y también MTA-STS, DANE y BIMI.
No envía ningún correo ni ve el correo que usted envía realmente. Puede no encontrar DKIM con un selector propio, por lo que no lo marca como ausente, sino como sin verificar. No prueba directamente el servidor de correo.