Envías un presupuesto importante y el cliente no lo ve: estaba en su carpeta de spam. O peor: un proveedor recibe un correo «tuyo» pidiendo cambiar un número de cuenta, y no lo habías enviado tú. Detrás de estos dos problemas está casi siempre lo mismo: tu dominio no tiene bien puestos SPF, DKIM y DMARC. Vamos a ver qué son, sin que necesites ser técnico.
El problema de fondo: el correo se fía poco
El correo electrónico se inventó cuando internet era un sitio de confianza, así que por defecto cualquiera puede escribir un mensaje diciendo que es de tu dominio. Para frenar el fraude y el spam, los servidores que reciben correo hacen tres comprobaciones antes de fiarse. SPF, DKIM y DMARC son justo esas tres comprobaciones, y son registros que se configuran en el DNS de tu dominio (la «guía telefónica» que dice a internet dónde está tu web y tu correo).
SPF: quién tiene permiso para enviar en tu nombre
SPF es una lista blanca. Dice: «los correos de tu-empresa.es solo salen legítimamente desde estos servidores». Cuando llega un mensaje, el servidor de destino mira si viene de un remitente autorizado en esa lista.
Si no tienes SPF, cualquiera puede enviar como tú y tú no tienes forma de demostrar lo contrario. Un fallo típico: contratas una herramienta de facturación o de email marketing que envía en tu nombre, pero olvidas añadirla al SPF; sus correos empiezan a marcarse como sospechosos.
DKIM: la firma que demuestra que el mensaje no se ha tocado
DKIM añade a cada correo una firma digital invisible. El servidor de destino la comprueba y confirma dos cosas: que el mensaje salió de verdad de tu dominio y que nadie lo ha manipulado por el camino.
Piénsalo como el lacre de una carta: si llega intacto, sabes que nadie la ha abierto. Si el correo se altera en tránsito, la firma «se rompe» y el destino lo detecta.
DMARC: qué hacer cuando algo no cuadra
SPF y DKIM comprueban. DMARC decide y avisa. Es la política que le dice al servidor de destino: «si un correo dice ser mío pero no pasa SPF ni DKIM, haz esto» —dejarlo pasar y observarlo, mandarlo a spam, o rechazarlo directamente—.
Además, DMARC te manda informes: descubres quién está intentando enviar en tu nombre y detectas suplantaciones antes de que hagan daño. Es la pieza que convierte las otras dos en una defensa de verdad.
Cómo encajan las tres
- SPF dice quién puede enviar.
- DKIM firma para probar que el mensaje es auténtico e íntegro.
- DMARC pone la regla de qué hacer si algo falla, y te informa.
Cuando las tres están bien puestas y alineadas, pasan dos cosas buenas a la vez: tu correo legítimo entrega mejor (menos spam) y a los estafadores les cuesta muchísimo más suplantarte.
Por qué no es «ponerlo y olvidarse»
El error más común no es no tenerlos, sino tenerlos a medias o mal alineados: un SPF que se queda corto, un DKIM sin renovar, o un DMARC en modo «solo observar» que nunca llega a proteger. Cada vez que cambias de herramienta de envío o de proveedor de correo, hay que revisarlos. Es mantenimiento, no una instalación única.
Cómo lo vemos en Solunet
Cuando gestionamos tu correo con tu propio dominio, configuramos SPF, DKIM y DMARC bien de partida y los mantenemos cuando algo cambia, para que tu correo llegue y nadie pueda hacerse pasar por ti. Y tienes un único interlocutor para el dominio, el DNS y los buzones, en lugar de tres proveedores señalándose entre ellos. Llevamos 29 años haciéndolo para más de 500 clientes en España. Si tu correo cae en spam o te preocupa la suplantación, cuéntanoslo y le echamos un ojo.
