Comprobador de SPF y DMARC

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Por qué importan SPF, DKIM y DMARC

El correo electrónico se diseñó sin verificación del remitente, así que cualquiera puede poner tu dominio en la línea "De" (From). Tres estándares basados en DNS lo solucionan. Desde febrero de 2024, Google y Yahoo los exigen a los remitentes masivos, y la falta de estos registros es ahora un motivo habitual de que el correo legítimo acabe en spam.

  • SPF enumera los servidores autorizados a enviar correo en nombre de tu dominio, en un registro TXT que empieza por v=spf1.
  • DKIM añade una firma criptográfica a cada mensaje; los receptores la verifican con una clave pública publicada en selector._domainkey.yourdomain.
  • DMARC (en _dmarc.yourdomain) indica a los receptores qué hacer cuando SPF y DKIM no se alinean con el dominio del remitente (none, quarantine o reject) y adónde enviar los informes.

Qué revisa este comprobador

  • Que SPF existe, que hay un solo registro, que termina en ~all o -all (nunca +all) y que el número total de búsquedas DNS, incluidos los mecanismos include: anidados, no supera el límite de 10 del RFC 7208.
  • Las claves DKIM del selector que indiques, o de una docena de selectores comunes usados por Google Workspace, Microsoft 365 y servicios de envío populares.
  • Que DMARC existe, tiene una política válida, se aplica al 100% del correo y envía informes agregados para que puedas ver quién envía correo haciéndose pasar por ti.

Ejemplos de registros

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Implantación recomendada

  1. Publica un SPF que cubra todos los servicios que envían correo por ti, terminado en ~all.
  2. Activa la firma DKIM en cada proveedor.
  3. Publica DMARC con p=none y una dirección rua, y revisa los informes durante dos a cuatro semanas.
  4. Pasa a p=quarantine y después a p=reject cuando todo el correo legítimo supere las comprobaciones.

Guía completa paso a paso: SPF, DKIM y DMARC explicados.

Preguntas frecuentes

¿Debo usar ~all o -all?

Si tienes DMARC configurado, cualquiera de los dos sirve; es DMARC quien decide el resultado. ~all es el punto de partida más seguro; -all es más estricto, para cuando estés seguro de que todos los remitentes están incluidos.

¿Qué significa "demasiadas búsquedas DNS"?

Cada include, a, mx, exists y redirect cuesta una búsqueda, incluidos los que hay dentro de los registros incluidos. Si se superan las 10, SPF falla para todo el mundo. Elimina los servicios que no uses o sustituye los include por rangos ip4/ip6.

¿Los dominios aparcados necesitan estos registros?

Sí. Protege los dominios que nunca envían correo con v=spf1 -all y v=DMARC1; p=reject.

Actualizado

Copiado al portapapeles