DKIM, SPF y DMARC explicados (sin tecnicismos)

Si tus correos caen en spam, casi siempre es por autenticación. DKIM, SPF y DMARC son tres registros DNS que le demuestran a Gmail y Outlook que el correo lo envías tú de verdad. Aquí te los explico sin jerga.

SPF — quién puede enviar por tu dominio

SPF (Sender Policy Framework) es una lista, publicada en tu DNS, de qué servidores están autorizados a enviar correo con tu dominio en el From. El receptor comprueba si el servidor que envió el mensaje está en esa lista.

; registro TXT en la raíz del dominio
tudominio.com.  TXT  "v=spf1 include:_spf.tu-proveedor.com -all"

El -all final significa "rechaza todo lo demás". Importante: SPF se rompe con los reenvíos, por eso no basta por sí solo.

DKIM — la firma criptográfica

DKIM (DomainKeys Identified Mail) añade una firma digital a cada correo. Tu proveedor firma el mensaje con una clave privada, y publica la clave pública en tu DNS. El receptor verifica que el contenido no se ha alterado y que procede de tu dominio.

; registro CNAME (lo da tu proveedor)
abc123._domainkey.tudominio.com.  CNAME  abc123.dkim.tu-proveedor.com.

A diferencia de SPF, DKIM sobrevive a los reenvíos porque viaja dentro del propio mensaje. Es la pieza más importante.

DMARC — la política

DMARC (Domain-based Message Authentication) une las dos anteriores. Le dice al receptor: "si un correo que dice venir de mí no pasa DKIM ni SPF, haz esto". Y además te manda informes de quién envía en tu nombre.

; registro TXT en _dmarc.tudominio.com
_dmarc.tudominio.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com"

Las políticas posibles:

• p=none — solo monitoriza (empieza aquí).
• p=quarantine — manda a spam lo que falle.
• p=reject — rechaza directamente lo que falle (objetivo final).

El concepto clave: alineación

No basta con que DKIM o SPF pasen; el dominio de la firma tiene que coincidir con el dominio del From. A esto se le llama alineación, y es lo que hace que DMARC dé por bueno el correo. Por eso enviar desde @gmail.com a través de otro servicio nunca alinea.

Cómo comprobar que funciona

Envíate un correo a Gmail, ábrelo, pulsa en los tres puntos → "Mostrar original". Verás tres líneas: SPF, DKIM y DMARC, cada una con PASS o FAIL. Las tres deben decir PASS.

Con Zend24 no tienes que pelearte con esto: al verificar tu dominio te damos los registros exactos (o los creamos por ti conectando tu DNS) y firmamos cada correo con DKIM automáticamente. Pruébalo gratis.