Comprobar SPF y DMARC de tu dominio, gratis

Tu dominio no es solo la dirección de tu web. También es el final de los correos de tu empresa. Y, si nadie lo protege, cualquiera puede enviar mensajes que parecen tuyos: una factura falsa a tu clientela, un cambio de cuenta bancaria a una empresa proveedora o un enlace trampa a tu propio equipo.

Para ponerlo difícil existen tres registros que se publican en el DNS del dominio: SPF, DKIM y DMARC. No se ven en la web y casi nadie los revisa hasta que llega el primer susto. Esta página explica qué comprobamos, qué significa cada resultado y cómo corregirlo.

SPF, DKIM y DMARC en pocas palabras

• SPF es la lista de servidores que pueden enviar correo con tu dominio. Lo define el RFC 7208.
• DKIM es una firma digital que viaja dentro de cada mensaje y demuestra que no se ha alterado por el camino.
• DMARC une los dos anteriores y le dice al buzón que recibe qué hacer si un correo no supera las comprobaciones: nada, apartarlo o rechazarlo. Su norma vigente es el RFC 9989, publicado en mayo de 2026, que sustituye al antiguo RFC 7489. Los registros siguen empezando por v=DMARC1, así que lo que ya tienes publicado sigue sirviendo.

Si quieres el detalle de cada uno, lo contamos en la guía SPF, DKIM y DMARC explicados para pymes.

Qué puede salir en tu diagnóstico

«El dominio no tiene política DMARC»

No hemos encontrado ningún registro en _dmarc.tudominio.es. Sin DMARC, el buzón que recibe un correo falso con tu nombre no tiene instrucciones tuyas sobre qué hacer con él.

1. Entra en el panel donde gestionas el DNS de tu dominio (suele ser tu registrador o tu alojamiento).
2. Crea un registro TXT con el nombre _dmarc.
3. Empieza con una política de observación y un correo para recibir informes, por ejemplo: v=DMARC1; p=none; rua=mailto:dmarc@tudominio.es.
4. Revisa los informes unas semanas para descubrir qué servicios envían correo en tu nombre.

«La política DMARC solo observa (p=none)»

Tienes DMARC, pero en modo de observación. Es un buen primer paso, no un punto de llegada: los correos que suplantan tu dominio no se apartan por tu política. Cuando los informes muestren que tu correo legítimo pasa las comprobaciones, cambia a p=quarantine (los falsos van a correo no deseado) y, más adelante, a p=reject (se rechazan).

«El dominio no tiene registro SPF»

Tu dominio no declara qué servidores pueden enviar en su nombre. Pide a quien te da el correo el registro SPF exacto y publícalo como TXT en la raíz del dominio. Un ejemplo con Google Workspace sería v=spf1 include:_spf.google.com ~all. Si además envías boletines, facturas o avisos desde otras plataformas, cada una debe estar incluida.

«El SPF permite enviar correo a cualquiera (+all)»

El final +all da por bueno el correo de cualquier servidor del mundo. Es como tener la lista de invitados y dejar pasar a todo el mundo. Sustitúyelo por ~all o -all y comprueba que en la lista están todos tus servicios de envío.

Lo que piden Gmail y Yahoo desde 2024

Desde febrero de 2024, Google exige que todo remitente que escribe a cuentas personales de Gmail autentique su correo con SPF o DKIM. Quien envía más de 5.000 mensajes al día debe tener además SPF, DKIM y DMARC, aunque admite la política p=none. Lo explica en sus directrices para remitentes. Yahoo aplica requisitos muy parecidos en sus buenas prácticas para remitentes y recomienda DMARC a todo el mundo.

En la práctica, una pyme sin estos registros puede ver cómo sus presupuestos acaban en la carpeta de correo no deseado de su clientela sin que nadie se lo diga.

Por qué no comprobamos DKIM (y cómo hacerlo tú)

Para leer la clave DKIM de un dominio hay que conocer su selector, un nombre que elige cada servicio de correo y que no se publica en ningún sitio previsible. La clave está en una dirección como selector._domainkey.tudominio.es. Sin ese nombre, desde fuera no se puede afirmar si existe o no, y preferimos no inventar un resultado.

Para comprobarlo tú en dos minutos:

1. Envía un correo desde tu cuenta de empresa a una cuenta de Gmail.
2. Ábrelo en Gmail, pulsa los tres puntos junto a «Responder» y elige «Mostrar original».
3. Busca la línea Authentication-Results: junto a dkim= debería poner pass. Ahí verás también el resultado de SPF y DMARC.

Si DKIM no aparece o falla, actívalo en el panel de tu servicio de correo. En Google Workspace, por ejemplo, el selector habitual es google, tal como explica su guía para resolver problemas de DKIM.

Lo que un análisis automático no ve

Nuestro diagnóstico consulta el DNS público de tu dominio desde fuera, sin acceso a tu correo ni a tu servidor. Por eso hay cosas que no puede saber:

• Si tu SPF incluye todos los servicios que envían en tu nombre: el programa de facturación, la tienda online, el CRM o la herramienta de boletines.
• Si tu SPF supera el límite de 10 consultas al DNS que marca el RFC 7208, o si hay dos registros SPF a la vez, algo que la norma no permite.
• Si tus correos reales pasan DMARC, que exige que el dominio del remitente coincida con el de SPF o DKIM.
• Qué dicen los informes DMARC que recibes, ni si alguien está suplantando tu dominio ahora mismo.

Si ya has recibido correos falsos con tu nombre o quieres que alguien revise la configuración completa, la revisión de seguridad web lo cubre con acceso a tus paneles. Y si prefieres contarnos tu caso antes, escríbenos desde la página de contacto.

Qué más revisa el diagnóstico

El correo es solo una parte. El mismo análisis mira la conexión segura y el certificado de tu web (lo detallamos en comprobar el certificado SSL), las cabeceras de seguridad y otras señales que repasamos en el análisis de seguridad web. El resultado del diagnóstico gratuito llega a tu correo, es orientativo y te ayuda a decidir por dónde empezar.