Comprobador de SPF y DMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Autenticación de correo de github.com

SPFVálido, con advertencias
DKIM5 claves encontradas
DMARCp=quarantine

SPF (Sender Policy Framework)

10/10 búsquedas DNS
v=spf1 ip4:192.30.252.0/22 include:spf.protection.outlook.com include:_netblocks.google.com include:_netblocks2.google.com include:mail.zendesk.com include:_spf.salesforce.com include:servers.mcsv.net include:mktomail.com include:sendgrid.net ip4:62.253.227.114 ip4:166.78.69.169 ip4:166.78.69.170 ip4:166.78.71.131 ~all
  • El registro usa 10 de las 10 consultas DNS permitidas. Estás cerca del límite.
  • El registro tiene más de 255 caracteres, por lo que debe dividirse en varias cadenas en el DNS.

DKIM (DomainKeys Identified Mail)

Selector google

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAj6T5sl/RwdSqGoYWaWaFbS2UAeyPrEmd0gogocmRfS441qwR8/0KB81Hw89P0l4YiFRrXYk7NVIGfyCRHAYYZUzCkGeOysI2EjgzLFhd/NEsbRzOEc/kWkK/RO6JFq/5lOn6M9AZw/ap9tds4JG9ApgNNdSpPxp9DmvpsOSgNMVflRxQFrk3kdS4RNAPKu/OPoA7dlR/A/pECryjRoYgENtDXzdnK70HgCekems6UDzxDj61cjyoKoXtEMF/QsaHEQ1Gjfv014rDJBsubk/kT5VqHkWHa/ia68Z5r228Ety/wFfQNjXTx/J7KGZ9GkZlKED659eiJcLnWcKDS…

Selector selector1 (mediante CNAME selector1-github-com._domainkey.microsoft.onmicrosoft.com)

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCxZC/z2cK+2s1f/ktzSDSeFzkfIHrjwtGFsfKMAYvKaXjPVNzKykpbXBkX5nB7dVUTFttda7aROr2iSrIseQ27Ui+4rUZVzgFanE8RaXhYM9n5wPKNv8GtLJk7JgcsYZ7ErgID4uW2sEYyV/dnRYw6rDzOaeRKkKELTUfJI5ebLQIDAQAB;

Selector k1 (mediante CNAME dkim.mcsv.net)

k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDbNrX2cY/GUKIFx2G/1I00ftdAj713WP9AQ1xir85i89sA2guU0ta4UX1Xzm06XIU6iBP41VwmPwBGRNofhBVR+e6WHUoNyIR4Bn84LVcfZE20rmDeXQblIupNWBqLXM1Q+VieI/eZu/7k9/vOkLSaQQdml4Cv8lb3PcnluMVIhQIDAQAB;

Selector s1 (mediante CNAME s1.domainkey.u51742174.wl175.sendgrid.net)

k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAyn3fMCVpb7ryIRKOGXhXVGYmsWUitNlSckqGHOwNFZgFadplOrD+Qzf1XQkP7MH/VB/97DsAAJGtEXW1Uq71Hjnfr/DuBN/YfjF/gU70qEFb7q1sdIiNtjFL2TkOpoW+X/bhhPNheW/fYwyFb6ZHFM6LTgXyuimWRHTOUP3VjZzhNVda79nt+2WZYbS4l8HdMgWpTNHjpVw5PtXESA9KBg/evSRk5fIaXIX5eRXW3baoV9yVzD8O29/IL/DiSk+yNvaO0EHL5c4yGuZJhGzvpiznb2IDVdemJK4Dqzdy5FTN/SGYZhAEr7MguG3Z314hMS2scgMsOMgB64uj/6+6U…

Selector s2 (mediante CNAME s2.domainkey.u51742174.wl175.sendgrid.net)

k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnNt2/H6bKs99C6DAaokPp62KN9mKaD20D1PBakkObejkJvzM6Un/fKHPeI2/qXdvFFBPQE3mxMNoe+hwBVDgMgCuZEn8J6gZYI4amITure9/ny6+GaNVRoH2m6xAtWwKINkKxMayGiehkWlRVb7D23F0U8y+VDHKQFz1bnXA5jDpcDiMXy8i2lV5vEys+qt+1WGhDKCAwamT8c3xkZz8aXMJaXYCiN2HMgHDU81+mVCk4+u6mY+a98APVfFhsQ0KCq/mVZXaXTV06QrG9M5PtBHUFW7VtwXKp+AFrAut0KW1NnwaA5IGA5sc+n9dma7bSqdfGS+ixdSmJ69NwmYSH…

DMARC

v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:dmarc@github.com; ruf=mailto:dmarc@github.com; fo=1
Política (p)
quarantine
Política de subdominios (sp)
reject
Informes agregados (rua)
mailto:dmarc@github.com
Porcentaje (pct)
100%
Alineación
DKIM: R, SPF: R (R = relajada, S = estricta)
  • DMARC se aplica con p=quarantine y los informes están habilitados.

Ver los registros MX de github.com (correo gestionado por Microsoft 365).

Por qué importan SPF, DKIM y DMARC

El correo electrónico se diseñó sin verificación del remitente, así que cualquiera puede poner tu dominio en la línea "De" (From). Tres estándares basados en DNS lo solucionan. Desde febrero de 2024, Google y Yahoo los exigen a los remitentes masivos, y la falta de estos registros es ahora un motivo habitual de que el correo legítimo acabe en spam.

  • SPF enumera los servidores autorizados a enviar correo en nombre de tu dominio, en un registro TXT que empieza por v=spf1.
  • DKIM añade una firma criptográfica a cada mensaje; los receptores la verifican con una clave pública publicada en selector._domainkey.yourdomain.
  • DMARC (en _dmarc.yourdomain) indica a los receptores qué hacer cuando SPF y DKIM no se alinean con el dominio del remitente (none, quarantine o reject) y adónde enviar los informes.

Qué revisa este comprobador

  • Que SPF existe, que hay un solo registro, que termina en ~all o -all (nunca +all) y que el número total de búsquedas DNS, incluidos los mecanismos include: anidados, no supera el límite de 10 del RFC 7208.
  • Las claves DKIM del selector que indiques, o de una docena de selectores comunes usados por Google Workspace, Microsoft 365 y servicios de envío populares.
  • Que DMARC existe, tiene una política válida, se aplica al 100% del correo y envía informes agregados para que puedas ver quién envía correo haciéndose pasar por ti.

Ejemplos de registros

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Implantación recomendada

  1. Publica un SPF que cubra todos los servicios que envían correo por ti, terminado en ~all.
  2. Activa la firma DKIM en cada proveedor.
  3. Publica DMARC con p=none y una dirección rua, y revisa los informes durante dos a cuatro semanas.
  4. Pasa a p=quarantine y después a p=reject cuando todo el correo legítimo supere las comprobaciones.

Guía completa paso a paso: SPF, DKIM y DMARC explicados.

Preguntas frecuentes

¿Debo usar ~all o -all?

Si tienes DMARC configurado, cualquiera de los dos sirve; es DMARC quien decide el resultado. ~all es el punto de partida más seguro; -all es más estricto, para cuando estés seguro de que todos los remitentes están incluidos.

¿Qué significa "demasiadas búsquedas DNS"?

Cada include, a, mx, exists y redirect cuesta una búsqueda, incluidos los que hay dentro de los registros incluidos. Si se superan las 10, SPF falla para todo el mundo. Elimina los servicios que no uses o sustituye los include por rangos ip4/ip6.

¿Los dominios aparcados necesitan estos registros?

Sí. Protege los dominios que nunca envían correo con v=spf1 -all y v=DMARC1; p=reject.

Actualizado

Copiado al portapapeles