SPF, DKIM y DMARC: la guía completa de configuración para remitentes de cold email en 2026

SPF protege tu dominio autorizando a remitentes específicos

Los registros SPF son entradas DNS TXT que surten efecto en un plazo de minutos a 48 horas según el TTL de tu DNS. Un registro SPF correctamente configurado impide que los spammers falsifiquen tu dominio como remitente, una práctica llamada suplantación (spoofing). Sin SPF, cualquier servidor de internet puede afirmar que envía correo desde tu dominio.

1. Paso 1: Inicia sesión en tu proveedor de DNS (Cloudflare, GoDaddy, Namecheap, Route 53, etc.)
2. Paso 2: Crea un nuevo registro TXT para el dominio raíz (@)
3. Paso 3: Establece el valor como: v=spf1 include:_spf.google.com ~all (reemplaza con la etiqueta include de tu ESP)
4. Paso 4: Si usas varios servicios de envío, encadena los includes: v=spf1 include:sendgrid.net include:_spf.google.com ~all
5. Paso 5: Mantén tu recuento de búsquedas por debajo de 10: cada include cuenta como una búsqueda
6. Paso 6: Verifica usando el SPF Record Checker de MXToolbox o dig TXT tudominio.com

Los errores comunes de SPF incluyen superar las 10 búsquedas DNS (lo que causa un permerror), listar direcciones IP sin incluir el registro SPF de tu ESP, o tener registros SPF duplicados. Solo puedes tener un registro SPF TXT por dominio: varios registros hacen que la política falle.

Configuración de DKIM paso a paso

DKIM añade una firma criptográfica verificada a cada correo saliente

DKIM usa un par de claves RSA de 2048 bits (la longitud de clave mínima recomendada a partir de 2025: las claves de 1024 bits ahora las marca Gmail). Tu servidor de correo o ESP guarda la clave privada y firma los mensajes salientes. La clave pública vive en DNS como un registro TXT bajo un subdominio de selector. Los servidores receptores recuperan la clave pública y verifican la firma.

1. Paso 1: En tu ESP (Google Workspace, Microsoft 365, SendGrid, etc.), ve a los ajustes de DKIM y genera un par de claves
2. Paso 2: Copia el valor del registro DKIM TXT: se verá así: v=DKIM1; k=rsa; p=MIGfMA0GCSq...
3. Paso 3: En DNS, crea un registro TXT con el nombre: [selector]._domainkey.tudominio.com (p. ej., google._domainkey.tudominio.com)
4. Paso 4: Pega el valor de la clave pública proporcionado por tu ESP
5. Paso 5: Vuelve a tu ESP y haz clic en 'Autenticar' o 'Verificar' para confirmar la propagación del DNS
6. Paso 6: Prueba con: nslookup -type=TXT google._domainkey.tudominio.com o usa el validador DKIM Core

Si envías desde varios servicios (tu propio servidor de correo más una herramienta de outreach como ColdBox), cada servicio de envío necesita su propio selector DKIM y par de claves. No compartas claves privadas entre servicios.

Configuración de DMARC paso a paso y progresión de la política

DMARC impone tus políticas de autenticación y te da visibilidad de reportes

Solo el 37 % de los remitentes que implementan DMARC usan una política de imposición (quarantine o reject). El resto se quedan atascados en p=none: reciben reportes pero no protegen su dominio. El enfoque correcto es un despliegue progresivo a lo largo de 4-8 semanas, pasando de la monitorización a la imposición una vez que los reportes confirman que tus flujos de correo legítimo están autenticados.

1. Paso 1: Crea un registro TXT llamado _dmarc.tudominio.com
2. Paso 2: Empieza con el modo de monitorización: v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1
3. Paso 3: Espera de 2 a 4 semanas y analiza los reportes agregados (usa Postmark DMARC Analyzer, Dmarcian o los niveles gratuitos de Valimail)
4. Paso 4: Identifica cualquier flujo de correo legítimo que falle la autenticación y corrige SPF/DKIM para esos servicios
5. Paso 5: Pasa a quarantine: v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]
6. Paso 6: Aumenta pct a 50, luego a 100 en intervalos de dos semanas
7. Paso 7: Política final: v=DMARC1; p=reject; pct=100; rua=mailto:[email protected]; aspf=s; adkim=s

Requisitos de alineación de DMARC

DMARC requiere 'alineación': el dominio en tu cabecera De debe coincidir (o alinearse) con el dominio usado en la autenticación SPF o DKIM. Hay dos modos de alineación: relajado (aspf=r, adkim=r) permite la coincidencia de subdominios, y estricto (aspf=s, adkim=s) requiere una coincidencia exacta.

Esto importa para los remitentes de cold email que usan subdominios para el outreach. Si envías desde outreach.tudominio.com pero tu DMARC está en tudominio.com, la alineación relajada pasará. La alineación estricta fallará a menos que configures DMARC en el subdominio por separado. La mayoría de los profesionales de cold email recomiendan la alineación relajada para evitar bloquear el envío desde subdominios.

Herramientas de prueba y verificación

• MXToolbox: Búsqueda gratuita de registros SPF, DKIM y DMARC y validación de sintaxis en mxtoolbox.com/SuperTool.aspx
• Mail-Tester.com: Envía un correo de prueba a una dirección única y obtén una puntuación de spam más un desglose de aprobado/fallido de autenticación
• Google Postmaster Tools: Panel gratuito de monitorización de reputación y autenticación para tu dominio (requiere Google Workspace o volumen de Gmail)
• GlockApps: Pruebas de pago de ubicación en bandeja de entrada con lista semilla: muestra si tu correo aterriza en bandeja de entrada, promociones o spam en más de 80 proveedores
• Dmarcian: Visualización de reportes agregados de DMARC; el nivel gratuito cubre hasta 100.000 mensajes/mes
• DKIM Core Validator: Verifica la publicación de la clave pública DKIM en dkimcore.org/tools/

Estrategia de subdominios para remitentes de cold email

Enviar cold email desde tu dominio raíz pone en riesgo toda tu marca

Los profesionales experimentados de cold email usan subdominios dedicados (outreach.tudominio.com, sales.tudominio.com) o dominios secundarios (tudominiooutreach.com) para la prospección. Esto aísla tu reputación de envío: si un dominio de outreach se marca, la entregabilidad de tu dominio principal para clientes entrantes y correo transaccional permanece inalterada.

Cada subdominio o dominio secundario necesita sus propios registros SPF, DKIM y DMARC. El registro SPF en el subdominio puede referenciar la etiqueta include de tu ESP. Las claves DKIM deben generarse específicamente para ese dominio. Configura DMARC en el subdominio apuntando a un buzón de monitorización que realmente revises semanalmente.

Errores comunes de configuración y cómo corregirlos

Preguntas frecuentes: SPF, DKIM y DMARC para cold email

¿Necesito DMARC si ya tengo SPF y DKIM?

Sí. SPF y DKIM autentican tu correo, pero sin DMARC no hay ninguna política que le diga a los servidores receptores qué hacer cuando la autenticación falla. Google, Yahoo y Microsoft requieren DMARC para remitentes masivos a partir de 2025. Incluso una política p=none satisface el mandato mientras recopilas datos.

¿Cuánto tiempo tarda DMARC en surtir efecto?

Los cambios de DNS se propagan en un plazo de minutos a 48 horas según tu ajuste de TTL. Configura el TTL de tu registro DMARC en 3600 (1 hora) durante la configuración para poder iterar rápidamente. Una vez estable, aumenta a 86400 (24 horas).

¿Puedo configurar SPF, DKIM y DMARC yo mismo sin un desarrollador?

Sí. Los tres registros son entradas DNS TXT. Cualquier registrador de dominios o host de DNS (Cloudflare, GoDaddy, Namecheap) te permite añadir registros TXT a través de su interfaz web. Tu ESP (Google Workspace, SendGrid, etc.) proporciona los valores exactos a copiar. El proceso lleva de 30 a 60 minutos para alguien cómodo con los ajustes de DNS.

¿Qué pasa si me salto la autenticación de correo para el cold outreach?

El cold email no autenticado se enfrenta a una ubicación en bandeja de entrada entre un 10 y un 20 % más baja que el correo autenticado, y esa brecha se está ampliando a medida que los ISP endurecen la imposición. Google y Yahoo pueden rechazar tu correo directamente si superas los 5.000 envíos diarios sin la autenticación adecuada. Los umbrales de quejas de spam (0,3 % con Google) se aplican a los remitentes autenticados: los remitentes no autenticados no tienen recurso alguno.

¿Con qué frecuencia debo revisar mis reportes de DMARC?

Revísalos semanalmente durante el primer mes de configuración. Una vez que alcances p=reject con reportes limpios, las revisiones mensuales son suficientes a menos que añadas un nuevo ESP o cambies tu infraestructura de envío. Cualquier nuevo servicio de envío que añadas aparecerá en los reportes agregados de DMARC como una nueva fuente que requiere autenticación.

¿Ayuda DMARC con las tasas de respuesta del cold email?

Directamente, no: DMARC no afecta a cómo responden los humanos. Indirectamente, sí, porque la imposición de DMARC mejora la ubicación en bandeja de entrada. El correo que aterriza en la bandeja de entrada se ve y se responde. El correo que aterriza en spam no. Las campañas de cold email correctamente autenticadas obtienen tasas de respuesta mediblemente más altas simplemente porque más destinatarios realmente las reciben.