Inicio Herramientas SPF, DKIM y DMARC
Escribe tu dominio y verás qué publica, qué le falta y cómo tratarán tu correo Gmail, Outlook, Yahoo y Apple. Si empiezas de cero, el asistente te da los registros exactos para tu proveedor.
Prueba con
Solo salen de tu navegador los nombres que se consultan en el DNS público. Las cabeceras y los informes se analizan en tu equipo.
Los encontrarás en el campo s= de la cabecera DKIM-Signature de un correo que hayas enviado.
Escribe tu dominio arriba. En unos segundos tendrás la puntuación, lo que falla, cómo arreglarlo y el registro exacto que tienes que publicar.
Quién recibe tu correo y qué servicio lo gestiona: Microsoft 365, Google Workspace, una pasarela de seguridad o tu hosting.
Sintaxis, las 10 consultas DNS que permite el estándar, consultas vacías, include rotos y rangos de IP demasiado amplios.
Busca tus claves en más de 60 selectores habituales, mide su longitud y detecta CNAME rotos o claves revocadas.
Política, subdominios, modo prueba, destinos de informes autorizados y el recorrido DNS de RFC 9989.
Si tu DMARC permite mostrar el logotipo y qué certificado exige cada buzón.
Si obligas a cifrar el correo que recibes y si te avisarán cuando la entrega cifrada falle.
Si tu zona está firmada y si tus servidores de correo publican registros TLSA.
Qué harán Gmail, Yahoo, Outlook.com, Microsoft 365 e iCloud con tu correo y con quien intente suplantarte.
Elige quién gestiona tus buzones y qué plataformas envían en tu nombre. Te doy los registros, el coste en consultas SPF, los pasos en cada panel y un plan de DMARC por fases.
Pega las cabeceras de un mensaje recibido. Verás la ruta que siguió, qué comprobó el servidor receptor y si el remitente es quien dice ser. Se analizan aquí, en tu navegador: no se envían a ningún sitio.
Arrastra los informes agregados que te envían Google, Microsoft, Yahoo y el resto (XML, .xml.gz o .zip, varios a la vez). Agrupo las fuentes y te digo cuáles son tuyas y están bien, cuáles necesitan configuración y cuáles son suplantaciones. Los ficheros no salen de tu equipo.
Cuando un servidor recibe un mensaje que dice venir de tu dominio, hace tres preguntas a tu DNS. Si las respuestas cuadran, el mensaje pasa; si no, tu política DMARC decide qué ocurre. La guía completa de seguridad del correo lo explica paso a paso, con dibujos.
Sender Policy Framework es un registro TXT que enumera los servidores autorizados a enviar correo con tu dominio. El receptor lo comprueba contra el dominio del sobre (Return-Path), no contra el From que ve el usuario.
Leer más sobre SPF →DomainKeys Identified Mail es una firma criptográfica que tu servidor añade a cada mensaje. El receptor la verifica con la clave pública publicada en tu DNS y sabe si el mensaje cambió por el camino.
Leer más sobre DKIM →DMARC exige que SPF o DKIM validen el mismo dominio que aparece en el From (alineación), indica qué hacer con lo que falle —nada, spam o rechazo— y te envía informes de quién usa tu dominio.
Leer más sobre DMARC →Brand Indicators for Message Identification muestra tu logotipo junto a tus correos en Gmail, Apple Mail, Yahoo y otros. Requiere DMARC en quarantine o reject y, en Gmail y Apple, un certificado VMC o CMC.
Leer más sobre BIMI →Authenticated Received Chain es una cadena de sellos que añaden listas de correo y reenviadores para certificar cómo llegó el mensaje. Gmail y Microsoft la siguen usando, pero el IETF propone retirarla en favor de DKIM2.
Leer más sobre ARC →MTA-STS obliga a los servidores que te envían correo a cifrar la conexión con un certificado válido. TLS-RPT te manda informes cuando esa entrega cifrada falla. DANE hace lo mismo apoyándose en DNSSEC.
Leer más sobre el cifrado →La construí para el trabajo que hago con clientes: entender en diez minutos qué pasa con el correo de un dominio y qué hay que cambiar sin romper envíos legítimos.
Una predicción para Gmail, Yahoo, Outlook.com, Microsoft 365 e iCloud según sus requisitos publicados: correo normal, envíos masivos, suplantación y logotipo.
Lo que no cuenta la documentación de Microsoft 365, Google, IONOS, OVHcloud, Mailchimp, SendGrid o Amazon SES, y cuánto consume cada include.
Cada include con su coste, las 10 consultas y las consultas vacías contadas como lo hace un receptor, y una prueba para ver si una IP concreta pasa.
Las cabeceras y los informes DMARC se analizan en el navegador. Nada de subir XML con las IP de tus proveedores a un servicio ajeno.
RFC 9989 de mayo de 2026: np, t, el recorrido DNS que sustituye a la Public Suffix List, el fin de pct y el retiro previsto de ARC.
DMARC por fases con fechas, el aviso de cuándo p=reject no te conviene y un informe PDF para tu equipo o tu proveedor.
Valores comprobados el 29 de septiembre de 2026. «Consultas» es lo que gasta cada include de las 10 que permite SPF, contando las que lleva dentro.
| Proveedor | Include SPF | Consultas | DKIM | Lo que conviene saber |
|---|---|---|---|---|
| Microsoft 365 | spf.protection.outlook.com | 1 | 2 CNAME: selector1 y selector2 | No firma con tu dominio hasta que activas DKIM. La clave por defecto es de 1024 bits: rótala a 2048. |
| Google Workspace | _spf.google.com | 1 | TXT google._domainkey | Genera la clave de 2048 bits en la consola y pulsa «Iniciar autenticación». |
| Zoho Mail | zoho.eu · zoho.com | 2 · 5 | TXT con el selector que elijas | El include depende del centro de datos de tu cuenta. |
| IONOS | _spf-eu.ionos.com | 1 | CNAME desde el panel | Si IONOS gestiona tu DNS, DKIM se publica solo al activarlo. |
| OVHcloud | mx.ovh.com | 3 | 2 CNAME desde el panel | Su include usa el mecanismo ptr, que el RFC 7208 desaconseja. |
| Hostinger | _spf.mail.hostinger.com | 3 | 3 CNAME hostingermail-a/b/c | Anida el SPF de MailChannels. |
| Proton Mail | _spf.protonmail.ch | 2 | 3 CNAME protonmail, protonmail2, protonmail3 | Pide también un TXT de verificación. |
| Fastmail | spf.messagingengine.com | 1 | 3 CNAME fm1, fm2, fm3 | Muestra logotipos BIMI sin exigir certificado. |
| iCloud+ | icloud.com | 5 | CNAME sig1 | Un solo include se come la mitad del presupuesto de SPF. |
| Plataforma | ¿Include en tu SPF? | DKIM | Cómo pasa DMARC |
|---|---|---|---|
| Mailchimp | No: el Return-Path es suyo | 2 CNAME k2 y k3 | Por DKIM |
| Brevo | No hace falta | 2 CNAME brevo1 y brevo2 | Por DKIM |
| Acumbamail | No | CNAME acumbamail | Por DKIM |
| SendGrid | No, con Automated Security | 2 CNAME s1 y s2 más em#### | Por SPF y DKIM |
| Amazon SES | No en el dominio raíz | 3 CNAME Easy DKIM | Por DKIM; SPF con MAIL FROM propio |
| Mailgun | En el subdominio de envío (eu.mailgun.org, 2) | TXT en el subdominio | Por SPF y DKIM |
| Postmark | No | TXT más CNAME pm-bounces | Por SPF y DKIM |
| HubSpot | Sí, el propio de tu cuenta | 2 CNAME hs1-… y hs2-… | Por DKIM |
| Zendesk | mail.zendesk.com (1) | 2 CNAME zendesk1 y zendesk2 | Por DKIM |
| Freshdesk | email.freshdesk.com (7) | CNAME desde el panel | Por DKIM |
| Odoo online | _spf.odoo.com (3) | CNAME odoo | Por DKIM |
| Mimecast (pasarela) | eu._netblocks.mimecast.com (1) | — | El include global cuesta 9 consultas |
Desde 2024 los grandes buzones dejaron de recomendar y pasaron a exigir. Esto es lo que piden hoy, según su documentación oficial.
| Buzón | A quién | Qué exige | Si no cumples |
|---|---|---|---|
| Gmail | Todos los remitentes | SPF o DKIM, DNS directo e inverso válidos, TLS, formato RFC 5322 y spam por debajo del 0,3 %. | Rechazos temporales o permanentes, o carpeta de spam. |
| Gmail | Más de 5.000 mensajes al día a cuentas personales | SPF y DKIM, DMARC publicado (p=none basta) y alineado con SPF o DKIM, baja en un clic (RFC 8058) y spam por debajo del 0,3 %. | Desde noviembre de 2025, rechazo con errores 5xx. |
| Yahoo y AOL | Remitentes masivos | SPF y DKIM, DMARC con p=none como mínimo y alineado, baja en un clic atendida en dos días y spam por debajo del 0,3 %. | Filtrado y rechazo. |
| Outlook.com y Hotmail | Más de 5.000 mensajes al día | SPF y DKIM que pasen, y DMARC con p=none como mínimo alineado con SPF o DKIM. | Desde el 5 de mayo de 2025, rechazo «550 5.7.515». |
| Microsoft 365 como receptor | Correo que llega a empresas | Aplica p=quarantine y p=reject de tu dominio si está activa «Honor DMARC policy» y resume su decisión en compauth. | Cuarentena, carpeta de correo no deseado o rechazo. |
| Apple iCloud Mail | Correo que llega a iCloud | Aplica DMARC. Para mostrar BIMI exige certificado VMC. | Sin logotipo; cuarentena o rechazo según tu política. |
SPF publica qué servidores pueden enviar con tu dominio y se comprueba contra el dominio del sobre (Return-Path). DKIM firma cada mensaje y el receptor verifica la firma con una clave pública en tu DNS. DMARC exige que al menos uno de los dos valide el mismo dominio que aparece en el From, dice qué hacer con lo que falle y te envía informes.
Diez. Cuentan los mecanismos include, a, mx, ptr y exists y el modificador redirect, también los que están dentro de cada include. Si una evaluación necesita más de diez, el resultado es permerror. RFC 7208 recomienda además no pasar de dos consultas vacías (nombres que no existen o no responden nada).
DKIM no permite listar los selectores publicados: solo se puede preguntar por nombres concretos. La herramienta prueba más de 60 selectores habituales. Si tu proveedor usa otro, escríbelo en las opciones del diagnóstico o búscalo en el campo s= de la cabecera DKIM-Signature de un correo tuyo.
No siempre. RFC 9989 pide pasar antes por p=none y p=quarantine al menos un mes cada una, exige firmar con DKIM a quien publica reject y desaconseja p=reject en dominios cuyos usuarios escriben a listas de correo. Para dominios que solo envían correo automatizado o que no envían correo, reject es lo adecuado.
~all o en -all?Con DMARC aplicado, ~all es lo que recomienda Google, y RFC 9989 advierte de que con -all algunos receptores rechazan en SPF antes de mirar DMARC: se pierden reenvíos que DKIM habría salvado y esos rechazos ni siquiera aparecen en tus informes. -all no está mal, pero conviene conocer ese efecto. En dominios que no envían correo, siempre -all.
Solo los nombres que se consultan en el DNS público (por ejemplo, _dmarc.tudominio.es), que el navegador envía directamente al resolvedor de Cloudflare (1.1.1.1) mediante DNS sobre HTTPS. Las cabeceras y los informes DMARC se analizan en el equipo y no se envían a ningún servidor.
Publicado en mayo de 2026, pasa DMARC a estándar del IETF, sustituye la Public Suffix List por un recorrido del árbol DNS, elimina las etiquetas pct, rf y ri, añade np (subdominios inexistentes), t (modo prueba) y psd, y separa los informes en RFC 9990 y 9991.
No. BIMI solo muestra tu logotipo en los buzones compatibles. Exige DMARC en quarantine o reject y, para Gmail, un certificado VMC o CMC; Apple Mail solo acepta VMC. Outlook no muestra logotipos BIMI.
Qué sale de tu navegador
Para leer tus registros, el navegador pregunta directamente al resolvedor DNS público de Cloudflare (1.1.1.1) mediante DNS sobre HTTPS. Viajan los nombres que se consultan, como _dmarc.tudominio.es, y, como en cualquier conexión, tu dirección IP. Esas consultas no pasan por mis servidores y no guardo nada. Si pides la vista previa del logotipo BIMI, tu navegador lo descarga del servidor que indica el registro. Las cabeceras y los informes DMARC se procesan en tu equipo. Más detalle en la política de privacidad.
EstándaresRFC 7208 (SPF) · RFC 6376 (DKIM) · RFC 8301 · RFC 9989 (DMARC) · RFC 9990 · RFC 8617 (ARC) · RFC 7505 · RFC 8461 · RFC 8460 · RFC 7672 · RFC 8058
BuzonesDirectrices de remitentes de Gmail · Yahoo Sender Hub · Requisitos de Outlook.com · Cabeceras antispam de Microsoft 365 · BIMI en Apple Mail · BIMI Group
La puntuación resume la configuración pública de un dominio: no mide reputación, contenido ni volumen, que también deciden la entrega. Contenido revisado el 29 de septiembre de 2026.
Reviso tu configuración con tus proveedores reales, preparo el plan de DMARC y acompaño el paso a cuarentena y rechazo sin perder correo legítimo.