Guía · 5 min de lectura

SPF, DKIM y DMARC: qué son y cómo configurarlos para que nadie suplante tu correo

Cualquiera puede enviar un correo que parezca venir de tu empresa. SPF, DKIM y DMARC son los tres registros que lo impiden, y se configuran en el DNS de tu dominio en una tarde. Aquí tienes qué hace cada uno, cómo saber si los tienes y cómo ponerlos sin romper tu correo.

Por Hugo Arribas Muñoz · Actualizado el 20 de octubre de 2026

Por qué importa

El correo electrónico se diseñó sin comprobar quién envía qué. Por eso un delincuente puede escribir a tus clientes con una dirección como facturas@tuempresa.es sin tocar tus sistemas. SPF, DKIM y DMARC añaden esa comprobación.

Tienen un segundo efecto: tu correo legítimo llega mejor. Google y Yahoo exigen desde 2024 que quien envía correo en grandes volúmenes tenga los tres bien puestos, y los filtros de spam de casi todos los proveedores puntúan mejor a los dominios que los tienen.

Qué hace cada uno

SPF (Sender Policy Framework): un registro de texto en tu DNS con la lista de servidores autorizados a enviar con tu dominio. El que recibe el correo comprueba si el servidor emisor está en la lista.
DKIM (DomainKeys Identified Mail): tu proveedor firma cada mensaje con una clave privada, y publica la clave pública en tu DNS. El receptor verifica la firma: si cuadra, el mensaje viene de quien dice y no se ha modificado por el camino.
DMARC (Domain-based Message Authentication, Reporting and Conformance): une los dos anteriores y añade una política: qué hacer si un mensaje falla (nada, cuarentena o rechazarlo) y a qué dirección enviar los informes.

Cómo comprobar si los tienes

La forma más rápida es la comprobación gratuita de Adarve: escribes tu dominio y te dice si SPF y DMARC existen, si están bien formados y qué arreglar primero. No hace falta cuenta.

Si prefieres hacerlo a mano, en Windows abre una ventana de comandos y escribe (cambiando tuempresa.es):

Comandos para consultar tu DNS

nslookup -type=TXT tuempresa.es
nslookup -type=TXT _dmarc.tuempresa.es

Busca en la primera respuesta una línea que empiece por «v=spf1», y en la segunda otra que empiece por «v=DMARC1». Para DKIM necesitas conocer el «selector» de tu proveedor (por ejemplo, «google» o «selector1»): nslookup -type=TXT selector1._domainkey.tuempresa.es

Paso 1: SPF

Tu proveedor de correo te da el valor exacto. Los más habituales son estos:

Google Workspace: v=spf1 include:_spf.google.com ~all
Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all
Otros servicios que envían en tu nombre (boletines, facturación, tienda online) se añaden con su propio «include:», todo en un único registro.

Paso 2: DKIM

En el panel de administración de tu correo hay una opción para activar DKIM de tu dominio. Te da uno o dos registros (normalmente CNAME o TXT) que pegas en tu DNS. Espera a que se propague (de minutos a unas horas) y pulsa «Activar» o «Iniciar firma».

Repite el proceso con cada servicio que envíe correo con tu dominio (el de boletines, el de facturas…): cada uno tiene su propia clave.

Paso 3: DMARC, sin prisas

Crea un registro TXT en _dmarc.tuempresa.es con este valor, que solo vigila y te manda informes:

Registro DMARC para empezar

v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.es

Déjalo así unas semanas y lee los informes (hay servicios gratuitos que los convierten en gráficos legibles). Cuando veas que todo tu correo legítimo pasa SPF o DKIM, sube la política:

p=none: solo vigilar. Aquí empiezas.
p=quarantine: lo que falle va a spam. Mantenlo otras semanas, vigilando que no se vaya correo legítimo.
p=reject: lo que falle se rechaza. Es el objetivo: nadie puede suplantarte con tu dominio.

Después de configurarlos

Vuelve a comprobarlo con la comprobación gratuita y guarda el resultado.
Cada vez que añadas un servicio que envíe correo (un CRM, una tienda), revisa SPF y DKIM.
Combínalo con formación: ningún registro DNS frena un correo falso desde otro dominio parecido al tuyo. Lee la guía de phishing y la del falso jefe.

Preguntas frecuentes

¿Qué pasa si no tengo SPF, DKIM ni DMARC?

Cualquiera puede enviar correos que parezcan venir de tu dominio, y tus mensajes legítimos tienen más probabilidades de acabar en spam. Es una de las comprobaciones más sencillas de arreglar y de las que más protegen.

¿Necesito los tres?

Sí, funcionan juntos. SPF y DKIM autentican el correo; DMARC decide qué se hace con lo que falla y te informa. Con solo uno de ellos la protección es parcial.

¿Puede DMARC dejar de entregar mi correo legítimo?

Si lo pones en modo estricto (reject) antes de comprobar que todos tus servicios pasan SPF o DKIM, sí. Por eso se empieza en «none», se lee los informes y se endurece poco a poco.

¿Cuánto tarda en notarse un cambio en el DNS?

Normalmente entre unos minutos y unas horas. En casos raros, hasta 48 horas, según la configuración de tu proveedor.

¿Protege DMARC de los correos desde dominios parecidos al mío?

No. DMARC protege tu dominio exacto. Un delincuente puede registrar uno parecido (por ejemplo, con una letra cambiada) y escribir desde ahí. Para eso ayuda la formación y revisar bien la dirección del remitente.

Sigue leyendo

Fuentes y más información

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.