Si tus correos empiezan a caer en la carpeta de spam del cliente, o si te llega el aviso de que alguien ha enviado mensajes suplantando tu empresa, casi siempre la causa es la misma: tu dominio no tiene bien puestos dos registros llamados SPF y DKIM. En este artículo vas a entender qué son, dónde se colocan y cómo comprobar que funcionan, sin necesidad de saber nada de servidores de correo. Al terminar sabrás si los tuyos están bien o si tienes que pedir a alguien que los arregle.
Por qué hoy cualquiera puede enviar un correo poniendo tu dominio
El correo electrónico se diseñó hace más de cuarenta años, cuando internet era un club de universidades que se fiaban unas de otras. Por eso el protocolo permite que cualquier ordenador del mundo escriba en el campo De: la dirección que le dé la gana. Nada, por defecto, comprueba que quien envía un correo firmado como [email protected] sea de verdad tu empresa.
Eso es exactamente lo que aprovecha la suplantación de correo: un atacante manda facturas falsas o mensajes de phishing usando tu dominio, tus clientes los reciben con tu nombre y tú te enteras cuando alguien te llama enfadado. SPF y DKIM son los dos mecanismos que sirven para cerrar esa puerta. No son un antivirus ni un plugin: son dos anotaciones en el DNS de tu dominio que le dicen al resto del mundo quién tiene permiso para enviar en mi nombre y cómo comprobar que el mensaje no ha sido manipulado.
SPF: la lista de quién puede enviar en tu nombre
SPF (Sender Policy Framework) es, literalmente, una lista blanca. Es una línea de texto que publicas en tu DNS diciendo: «los correos legítimos de mi dominio salen desde estos servidores, y de ningún otro». Cuando un servidor de correo recibe un mensaje que dice venir de tu dominio, mira esa lista y comprueba si el servidor que se lo ha enviado está autorizado.
Un registro SPF típico de una empresa que usa Google Workspace se ve así:
v=spf1 include:_spf.google.com ~allVamos por partes. v=spf1 dice que es un registro SPF. include:_spf.google.com autoriza a los servidores de Google. Y ~all al final significa «cualquier otro servidor que no esté en la lista, márcalo como sospechoso». Si usas otro proveedor (Microsoft 365, tu hosting, una herramienta de facturas, un boletín tipo Mailchimp), cada uno tiene su propio include que hay que añadir a la misma línea.
La parte final, la del ~all, importa más de lo que parece. Puedes ponerla en tres modos: ~all (softfail, «sospechoso pero acéptalo»), -all (fail, «recházalo directamente») o ?all (neutral, que no sirve para casi nada). Empieza con ~all mientras te aseguras de que no te dejas fuera ningún servidor legítimo, y pasa a -all cuando estés seguro.
El límite de las diez consultas y por qué se rompe el SPF de tanta empresa
Aquí está el error que rompe el SPF de miles de empresas sin que se enteren. El estándar impone un límite: al validar tu SPF, el servidor de destino no puede hacer más de diez consultas DNS. Cada include que añades suele contar como una o varias consultas. Google gasta unas cuantas, tu CRM otra, la herramienta de facturación otra, el boletín otra…
Cuando superas esas diez consultas, tu SPF no es que funcione peor: deja de ser válido del todo. El resultado es un error llamado permerror, y muchos servidores tratan un SPF con permerror como si no existiera. Es decir, has trabajado para tener SPF y no te protege en absoluto.
Si has ido añadiendo servicios a tu correo con los años y notas que empiezas a acabar en spam, este es el primer sospechoso. La solución pasa por «aplanar» el registro o por quitar servicios que ya no usas. Es un trabajo de detalle que conviene hacer con cuidado, porque un SPF mal aplanado deja de autorizar servidores reales y entonces tus correos legítimos empiezan a rebotar.
DKIM: la firma que demuestra que el mensaje no se ha tocado
SPF dice desde qué servidor sale el correo, pero no protege el contenido. Para eso está DKIM (DomainKeys Identified Mail). DKIM añade a cada correo que envías una firma criptográfica invisible, calculada a partir del contenido del mensaje. El servidor que lo recibe usa una clave pública, que también publicas en tu DNS, para comprobar dos cosas: que el correo salió de verdad de tu dominio y que nadie ha modificado el texto por el camino.
La clave pública de DKIM se publica en un registro con un nombre curioso, del tipo selector._domainkey.tuempresa.es. Ese selector es una etiqueta que te da tu proveedor de correo (Google usa google, por ejemplo). No tienes que entender la criptografía: solo tienes que activar DKIM en el panel de tu proveedor de correo y copiar el registro que te genera en tu DNS. Una vez puesto, funciona solo.
Dónde se ponen: en tu DNS, no en tu gestor de correo
Esta es la confusión más habitual y la que hace perder más tiempo. SPF y DKIM no se configuran en tu programa de correo (ni en Outlook, ni en el webmail, ni en la app del móvil). Se publican en el DNS de tu dominio, que normalmente gestionas en el sitio donde compraste el dominio (Cloudflare, tu proveedor de hosting, o un registrador como los habituales).
El sitio donde «vive» tu correo (Google, Microsoft, tu hosting) te da los valores que hay que poner, pero quien los publica es el panel de DNS. Por eso, para tocar esto necesitas acceso a dos sitios: el panel de tu proveedor de correo (para activar DKIM y saber qué autorizar en SPF) y el panel de DNS de tu dominio (para pegar los registros). Si tu dominio y tu correo están en proveedores distintos, tenlo claro antes de empezar, porque es donde más gente se atasca. Tener el hosting y el dominio bien configurados es la base sobre la que se apoya todo lo demás.
Cómo comprobar que los dos están bien puestos
No hace falta que te fíes de tu memoria. Puedes comprobar el estado real de tu dominio en pocos minutos:
- Manda un correo de prueba a una cuenta de Gmail tuya. Abre el mensaje, pulsa los tres puntos y elige «Mostrar original». Verás tres líneas: SPF, DKIM y DMARC. Cada una debe decir
PASS. Si alguna diceFAIL,SOFTFAILonone, ahí tienes el problema. - Usa una herramienta de comprobación de dominio que te lea los registros públicos y te diga si el SPF supera el límite de las diez consultas o si el DKIM está publicado. Nuestro comprobador gratuito de correo hace justo eso y te lo explica en lenguaje llano.
- Comprueba que no tienes dos SPF. Solo puede haber un registro SPF por dominio. Es un error muy común y lo tratamos en el último apartado.
Si las tres líneas dicen PASS, tu correo está razonablemente protegido en lo básico. El siguiente paso, cuando quieras subir un peldaño, es empezar a usar DMARC, que es la política que le dice al mundo qué hacer con los correos que no pasan SPF ni DKIM, y que además te avisa cuando alguien intenta suplantarte.
Errores típicos: dos SPF, copiar el de otro, olvidar la herramienta de mailing
Casi todos los problemas de correo que vemos en pymes vienen de tres despistes concretos:
- Tener dos registros SPF. Alguien añadió Google, y meses después otra persona añadió otro proveedor creando un segundo registro en lugar de ampliar el primero. Con dos registros SPF, el estándar dice que el resultado es inválido. Tiene que haber una sola línea que empiece por
v=spf1y contenga todos losincludejuntos. - Copiar el SPF de otra empresa. El SPF de tu vecino autoriza sus servidores, no los tuyos. Copiarlo tal cual hace que tus correos parezcan aún más falsos. Cada dominio tiene el suyo.
- Olvidar la herramienta de envíos masivos. Configuras SPF para Google y todo va bien… hasta que envías la newsletter del mes desde una plataforma de mailing que no está en la lista. Esos correos, los más importantes comercialmente, acaban en spam. Cada servicio que envíe correos en tu nombre tiene que estar autorizado, incluidas las herramientas de facturación, los formularios de la web y las plataformas de boletines.
Si notas que tus correos van a spam de forma general o sospechas que alguien está suplantando la identidad de tu empresa, revisar SPF y DKIM es siempre el primer paso. Y si has recibido un aviso de que tu dominio está en una lista negra, corregir estos registros forma parte de la solución para volver a entregar correo con normalidad.
Este es de esos casos en los que puedes hacerlo tú si tienes acceso al panel de DNS y un rato de calma: activar DKIM en el proveedor y publicar un SPF de un solo servicio es sencillo. La cosa se complica cuando envías desde cinco o seis plataformas distintas y hay que aplanar el registro sin dejar a nadie fuera; ahí sí conviene una mano experta para no romper el correo de la empresa por el camino.
Si prefieres salir de dudas antes de tocar nada, comprueba gratis cómo están configurados el SPF, el DKIM y el DMARC de tu dominio. En un par de minutos sabrás si tu correo está protegido o si hay algo que arreglar, y con qué prioridad.