SPF, DKIM y DMARC son tres líneas de texto que se añaden a la configuración de tu dominio (lo que va detrás de la @) para que Gmail, Outlook y cualquier otro buzón puedan comprobar que un correo que dice venir de ti sale de verdad de ti. SPF es la lista de servidores que pueden enviar en tu nombre, DKIM es una firma que viaja dentro de cada mensaje y DMARC le dice al buzón de destino qué hacer con los correos que no pasan esas pruebas.
Desde el 1 de febrero de 2024, Gmail exige a cualquiera que le mande correo tener al menos SPF o DKIM, y los tres a quien envía más de 5.000 mensajes al día a cuentas de Gmail[1]. Outlook.com pide los tres a partir de ese mismo volumen desde mayo de 2025[2]. Comprobar si tu dominio los tiene lleva dos minutos y no hace falta saber nada de informática: está en el apartado 03.
Qué son SPF, DKIM y DMARC, sin tecnicismos
Las tres viven en el DNS de tu dominio. El DNS es la ficha pública del dominio: dice dónde está tu web, a qué servidor llega tu correo y, con estas líneas, quién puede enviar en tu nombre. Lo edita quien tiene acceso al panel donde contrataste el dominio o donde está alojado. Si no sabes quién es, empieza por a nombre de quién están tu dominio y tu hosting.
- SPF: la lista de autorizados
- Una línea que empieza por
v=spf1y enumera los servidores que pueden mandar correo con tu dominio: el de tu correo, el de tu herramienta de boletines, el de tu web. El buzón que recibe el mensaje mira si el servidor que se lo entrega está en esa lista[3]. - DKIM: el lacre del sobre
- El servidor que envía firma cada mensaje con una clave que solo tiene él, y en tu DNS se publica la otra mitad para comprobarla. Si alguien cambia el mensaje por el camino, o lo manda otro, la firma no cuadra[3].
- DMARC: las instrucciones para el portero
- Una línea en
_dmarc.tudominio.esque dice qué hacer con un correo que usa tu dominio y no pasa las pruebas: entregarlo igualmente (p=none), mandarlo a spam (p=quarantine) o rechazarlo (p=reject). También puede pedir informes, que te llegan por correo y cuentan quién está enviando en tu nombre[4].
Hay un matiz que explica muchos problemas. DMARC solo da por bueno un correo si el SPF o el DKIM que pasa corresponde al mismo dominio que aparece en el remitente, lo que Google llama alineación[1]. Una herramienta de boletines puede firmar con su propio dominio y pasar DKIM sin problema, pero esa firma no cuenta para el tuyo.
Lo que exigen Gmail y Outlook, y lo que no
| Buzón de destino | Si envías hasta 5.000 al día | Si envías más de 5.000 al día |
|---|---|---|
| Gmail (cuentas @gmail.com y @googlemail.com) | SPF o DKIM[1] | SPF y DKIM, más DMARC (vale con p=none) y alineación[1] |
| Outlook.com (también Hotmail y Live) | Microsoft no ha anunciado requisitos para este tramo | SPF, DKIM y DMARC con al menos p=none, alineado con SPF o DKIM[2] |
El umbral de Google se cuenta en mensajes a cuentas de Gmail, no en todo lo que mandas. Una empresa pequeña que escribe a sus clientes y proveedores está casi siempre por debajo, así que el mínimo que le exigen es SPF o DKIM. Mínimo no es lo recomendable: en esa misma página, Google aconseja configurar siempre SPF, DKIM y DMARC, y avisa de que los mensajes sin autenticar pueden ir a spam o rechazarse con el error 5.7.26[1].
Y el listón sube. Google anuncia que desde noviembre de 2025 aplica los requisitos con más dureza y que los mensajes que no los cumplen sufren rechazos temporales y permanentes[5]. Microsoft, en una actualización del 29 de abril de 2025, anunció que rechazaría el correo de los grandes remitentes que no cumplan con el código 550 5.7.515[2]. Si te devuelven un correo con cualquiera de esos dos códigos, el problema está en estas líneas.
Un aviso si consultas la página de Google en español: en el apartado de los 5.000 mensajes pone «SPF o DKIM en tu dominio»[6] donde la versión en inglés exige «SPF and DKIM»[1]. La que vale es la inglesa. Lo contamos con más detalle en tipos de correo electrónico.
Gmail solo te pide SPF o DKIM. Quien quiera hacerse pasar por ti cuenta con que te quedes ahí.
Cómo saber si tu dominio tiene SPF, DKIM y DMARC: la prueba de dos minutos
Solo necesitas una cuenta de Gmail personal (la tuya o la de alguien de casa) y un ordenador:
- Mándate un correoDesde tu dirección de empresa, escribe a esa cuenta de Gmail. Vale cualquier texto.
- Abre el originalEn Gmail, abre el mensaje, pulsa los tres puntos que hay junto a Responder y elige «Mostrar original»[7].
- Lee el resumen de arribaAntes de la cabecera completa, Gmail muestra una línea para SPF, otra para DKIM y otra para DMARC. Si las tres dicen PASS, tu correo normal está bien. Si alguna dice FAIL o no aparece, falta o está mal configurada.
- Repite con lo demás que envía por tiLos avisos del formulario de la web, los correos de pedido de una tienda y el boletín salen cada uno de un servidor distinto, y cada uno tiene que pasar por su cuenta. Haz que llegue uno de cada tipo a esa cuenta de Gmail (un pedido de prueba, suscribirte a tu propio boletín) y mira el original igual.
Si prefieres mirar el DNS directamente, Google tiene una herramienta gratuita llamada Dig[8]. Escribe tu dominio, pulsa TXT y busca una línea que empiece por v=spf1: ese es tu SPF. Luego escribe _dmarc. delante del dominio (_dmarc.tudominio.es), pulsa TXT otra vez y busca v=DMARC1. DKIM no se puede consultar así sin saber el nombre interno de la clave, y por eso la prueba del correo es la más fiable para un no informático.
Los fallos más habituales, aunque «esté puesto»
No hace falta que falte todo para que falle. Estos son los que más nos encontramos cuando revisamos el correo de una empresa:
- Dos líneas SPF
- Al dar de alta un servicio nuevo, alguien añade otra línea
v=spf1en lugar de meterlo en la que ya había. La norma que define SPF lo prohíbe: con dos registros, la comprobación da error y el buzón no puede aplicar ninguno[9]. - Una lista demasiado larga
- Cada servicio que se añade con
include:gasta al menos una consulta del buzón, más las que lleve dentro, y la norma pone el tope en 10. Pasado ese número, SPF da error aunque todo esté bien escrito[9]. Google lo recuerda en su guía: hasta 10include:por registro[10]. - La web no está en la lista
- Los formularios y los correos de pedido suelen salir del servidor del hosting con tu dominio como remitente. Google avisa de que los remitentes que no estén en tu SPF tienen más probabilidades de acabar en spam[1], y aquí son justo los correos que tu cliente está esperando.
- DMARC puesto y olvidado
- Google recomienda empezar con
p=noney pasar aquarantineorejecta medida que conoces cómo se autentica tu correo[4]. Si te quedas ennonepara siempre, un correo que se hace pasar por ti se entrega igual, y los informes llegan a un buzón que nadie abre. - El boletín firma con su dominio
- Pasa DKIM, pero con el dominio de la herramienta y no con el tuyo, así que para DMARC no cuenta. Se arregla activando la autenticación de tu dominio dentro de la propia herramienta, que suele llamarse así o «dominio de envío».
Qué pedirle a quien te lleva la web o el correo
Configurarlo le toca a tu técnico; a ti, pedirlo y comprobar que está hecho. Por escrito, algo así:
- ✓Un solo registro SPF que incluya todo lo que envía con mi dominio: correo, web, tienda y boletín.
- ✓DKIM activado en el correo y en cada herramienta que envíe en mi nombre, firmando con mi dominio.
- ✓Un registro DMARC con una dirección para los informes que alguien lea, y fecha para pasar de
p=noneaquarantine. - ✓Que los formularios de la web envíen a través de mi cuenta de correo (lo que se llama envío por SMTP, con usuario y contraseña) o de un servicio que esté en el SPF, y no directamente desde el servidor.
- ✓Una captura de «Mostrar original» con los tres PASS: de un correo normal y de uno del formulario.
El último punto es el que cierra el encargo: es la prueba de que está hecho, y la puedes repetir tú cuando quieras, por ejemplo después de cambiar de proveedor de correo o de web. Si el correo lo montamos nosotros, las tres líneas van puestas desde el primer día; cómo se monta el resto lo tienes en correo corporativo: qué es y cómo montarlo con tu dominio, y si estás rehaciendo la web, en nuestro servicio de diseño web entra dejar los formularios enviando bien.
Sin humo: tener los tres en PASS no te garantiza la bandeja de entrada. Google pide además, entre otras cosas, que los destinatarios marquen como spam menos del 0,3 % de tus correos[1], y lo que escribes y a quién se lo mandas sigue contando. Lo que consigues es quitar un motivo de rechazo y que a otro le cueste mucho más hacerse pasar por ti. Para lo segundo, visto desde el lado del que recibe, tienes cómo saber si un correo es falso.
Dudas rápidas
¿Qué es el SPF en el correo electrónico?
Es una línea de texto en el DNS de tu dominio que empieza por v=spf1 y enumera los servidores autorizados a enviar correo con ese dominio. El buzón que recibe un mensaje comprueba si el servidor que se lo entrega está en esa lista[3]. Solo puede haber un registro SPF por dominio[9].
¿Cómo puedo ver el SPF de un dominio?
Con la herramienta gratuita Dig de Google: escribe el dominio, elige TXT y busca la línea que empieza por v=spf1[8]. Para ver si además funciona, mándate un correo a una cuenta de Gmail y mira «Mostrar original»: la línea SPF tiene que decir PASS[7].
¿Qué es DKIM?
Una firma digital que el servidor de envío pone en cada correo. La clave para comprobarla se publica en el DNS de tu dominio, y si el mensaje se ha tocado por el camino o lo ha enviado otro, la firma no cuadra[3].
¿Para qué se utiliza DMARC?
Para decir a los buzones qué hacer con los correos que usan tu dominio y no pasan SPF ni DKIM con tu dominio (entregarlos, mandarlos a spam o rechazarlos) y para recibir informes de quién envía en tu nombre[4]. Sin DMARC, esa decisión la toma cada buzón por su cuenta.
¿Necesito DMARC si envío pocos correos?
Gmail no te lo exige por debajo de 5.000 mensajes diarios a sus cuentas, pero Google recomienda tenerlo siempre[1]. Es lo que permite pedir que se rechace a quien se haga pasar por ti, y empezar con p=none no bloquea nada mientras compruebas que todo lo tuyo pasa[4].
Fuentes
[1] Google. Email sender guidelines, Gmail Help, versión en inglés, apartados de requisitos para todos los remitentes y para más de 5.000 mensajes diarios, consultada el 25 de septiembre de 2026. enlace
[2] Puneeth (Microsoft). (2025, 2 de abril; actualizado el 29 de abril). Strengthening Email Ecosystem: Outlook’s New Requirements for High‐Volume Senders, Microsoft Tech Community (en inglés). enlace
[3] INCIBE. Tecnología y formación para proteger tu dominio de correo electrónico, blog de Empresas, consultado el 25 de septiembre de 2026. enlace
[4] Google. Set up DMARC, Google Workspace Help (en inglés), consultada el 25 de septiembre de 2026. enlace
[5] Google. Email sender guidelines FAQ, Google Workspace Admin Help (en inglés), consultada el 25 de septiembre de 2026. enlace
[6] Google. Directrices para remitentes de correo, Ayuda de Gmail, versión en español, consultada el 25 de septiembre de 2026. enlace
[7] Google. Troubleshoot DKIM issues, Google Workspace Help (en inglés), apartado para comprobar en Gmail si un mensaje pasa la autenticación, consultada el 25 de septiembre de 2026. enlace
[8] Google Admin Toolbox. Dig (DNS lookup), herramienta gratuita, consultada el 25 de septiembre de 2026. enlace
[9] Kitterman, S. (2014, abril). RFC 7208: Sender Policy Framework (SPF) for Authorizing Use of Domains in Email, Version 1, IETF, apartados 3.2, 4.5 y 4.6.4 (en inglés). enlace
[10] Google. Set up SPF, Google Workspace Help (en inglés), consultada el 25 de septiembre de 2026. enlace
¿Tus correos pasan las tres pruebas?
Miramos contigo el SPF, el DKIM y el DMARC de tu dominio, y si los formularios de tu web envían bien. Te decimos qué falta y qué pedir. Sin compromiso.