Comprobador de SPF y DMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Autenticación de correo de gmail.com

SPFVálido
DKIMNo encontrado en los selectores habituales
DMARCp=none

SPF (Sender Policy Framework)

1/10 búsquedas DNS
v=spf1 redirect=_spf.google.com
  • El registro SPF es válido y termina en None.

DKIM (DomainKeys Identified Mail)

Comprobamos los selectores habituales (google, selector1, selector2, default, k1, s1, s2, dkim, mail, smtp, mandrill, everlytickey1) y no encontramos ninguna clave DKIM.

Las claves DKIM se encuentran en <selector>._domainkey.gmail.com y cada proveedor de correo elige sus selectores, así que puede existir una clave aunque no logremos adivinar el selector. Busca el selector en el valor s= del encabezado DKIM-Signature de un correo de este dominio e introdúcelo arriba.

DMARC

v=DMARC1; p=none; sp=quarantine; rua=mailto:mailauth-reports@google.com
Política (p)
none
Política de subdominios (sp)
quarantine
Informes agregados (rua)
mailto:mailauth-reports@google.com
Porcentaje (pct)
100%
Alineación
DKIM: R, SPF: R (R = relajada, S = estricta)
  • La política es p=none (solo supervisión). Cuando los informes salgan limpios, pasa a p=quarantine y después a p=reject.

Ver los registros MX de gmail.com (correo gestionado por Google Workspace).

Por qué importan SPF, DKIM y DMARC

El correo electrónico se diseñó sin verificación del remitente, así que cualquiera puede poner tu dominio en la línea "De" (From). Tres estándares basados en DNS lo solucionan. Desde febrero de 2024, Google y Yahoo los exigen a los remitentes masivos, y la falta de estos registros es ahora un motivo habitual de que el correo legítimo acabe en spam.

  • SPF enumera los servidores autorizados a enviar correo en nombre de tu dominio, en un registro TXT que empieza por v=spf1.
  • DKIM añade una firma criptográfica a cada mensaje; los receptores la verifican con una clave pública publicada en selector._domainkey.yourdomain.
  • DMARC (en _dmarc.yourdomain) indica a los receptores qué hacer cuando SPF y DKIM no se alinean con el dominio del remitente (none, quarantine o reject) y adónde enviar los informes.

Qué revisa este comprobador

  • Que SPF existe, que hay un solo registro, que termina en ~all o -all (nunca +all) y que el número total de búsquedas DNS, incluidos los mecanismos include: anidados, no supera el límite de 10 del RFC 7208.
  • Las claves DKIM del selector que indiques, o de una docena de selectores comunes usados por Google Workspace, Microsoft 365 y servicios de envío populares.
  • Que DMARC existe, tiene una política válida, se aplica al 100% del correo y envía informes agregados para que puedas ver quién envía correo haciéndose pasar por ti.

Ejemplos de registros

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Implantación recomendada

  1. Publica un SPF que cubra todos los servicios que envían correo por ti, terminado en ~all.
  2. Activa la firma DKIM en cada proveedor.
  3. Publica DMARC con p=none y una dirección rua, y revisa los informes durante dos a cuatro semanas.
  4. Pasa a p=quarantine y después a p=reject cuando todo el correo legítimo supere las comprobaciones.

Guía completa paso a paso: SPF, DKIM y DMARC explicados.

Preguntas frecuentes

¿Debo usar ~all o -all?

Si tienes DMARC configurado, cualquiera de los dos sirve; es DMARC quien decide el resultado. ~all es el punto de partida más seguro; -all es más estricto, para cuando estés seguro de que todos los remitentes están incluidos.

¿Qué significa "demasiadas búsquedas DNS"?

Cada include, a, mx, exists y redirect cuesta una búsqueda, incluidos los que hay dentro de los registros incluidos. Si se superan las 10, SPF falla para todo el mundo. Elimina los servicios que no uses o sustituye los include por rangos ip4/ip6.

¿Los dominios aparcados necesitan estos registros?

Sí. Protege los dominios que nunca envían correo con v=spf1 -all y v=DMARC1; p=reject.

Actualizado

Copiado al portapapeles