Configuración de SPF, DKIM y DMARC para autenticar tu dominio

SPF, DKIM y DMARC son tres estándares de autenticación de correo que se configuran como registros en el DNS de tu dominio. Juntos le permiten al servidor que recibe un email comprobar que realmente lo enviaste vos. Son el primer paso de cualquier trabajo de listas y entregabilidad.

• SPF (Sender Policy Framework) es un registro que enumera los servidores y servicios autorizados a enviar correo con tu dominio.
• DKIM (DomainKeys Identified Mail) es una firma digital que el servidor agrega a cada mensaje con una clave privada. La clave pública se publica en el DNS, y quien recibe el correo la usa para verificar que el mensaje no fue alterado.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) es una política que le indica al receptor qué hacer con los correos que fallan SPF y DKIM, exige que coincidan con el dominio visible del remitente y envía informes al dueño del dominio.

Desde 2024, Gmail y Yahoo exigen a quienes envían grandes volúmenes que autentiquen su dominio con SPF, DKIM y DMARC, y Microsoft anunció requisitos similares para las cuentas de Outlook.com. Aunque tu volumen sea menor, los correos sin autenticar tienen más chances de ir a spam. Además, DMARC impide que terceros envíen correos falsos usando tu dominio, una técnica común en los intentos de fraude.

• Dos registros SPF en el mismo dominio, o uno que supera el límite de consultas DNS.
• Servicios que envían en tu nombre, como la tienda o el sistema de facturación, que no figuran en SPF.
• DKIM sin activar en la plataforma de campañas, que firma con su propio dominio.
• DMARC en modo monitoreo desde hace años, sin que nadie lea los informes.
• Remitentes que no coinciden con el dominio autenticado, por lo que DMARC falla aunque SPF y DKIM pasen.

1. Inventario. Relevamos todos los servicios que envían correo con tu dominio: casillas en Google Workspace o Microsoft 365, plataforma de email, tienda, CRM y sistemas propios.
2. SPF. Armamos un único registro que incluye a todos los servicios legítimos.
3. DKIM. Activamos la firma en cada servicio y publicamos sus claves.
4. DMARC en monitoreo. Publicamos la política inicial con una casilla para recibir informes.
5. Análisis. Revisamos los informes y corregimos lo que no pasa la verificación.
6. Política final. Avanzamos a cuarentena y luego a rechazo cuando todo está alineado.

Si tu DNS está en Cloudflare, aplicamos los cambios en tu configuración de DNS y dominios. Cuando enviás desde un servidor propio, se suman el DNS inverso y la identidad del servidor, que resolvemos en DNS y reputación del servidor.

• Los registros SPF, DKIM y DMARC configurados y verificados.
• Un inventario documentado de los servicios autorizados a enviar con tu dominio.
• El seguimiento de los informes DMARC hasta llegar a la política definitiva.
• Una guía para sumar nuevos servicios sin romper la autenticación.