SPF, DKIM y DMARC: por qué son esenciales para tu email marketing

Tus emails no llegan a la bandeja de entrada. ¿sabes por qué?

Si cambia la respuesta a tus campañas, revisa autenticación y rechazos además del contenido. Una baja apertura, por sí sola, no demuestra que un mensaje haya caído en spam.

Los requisitos de Gmail distinguen remitentes generales y masivos. Para envíos masivos a cuentas personales exigen SPF, DKIM y DMARC; el dominio From debe alinearse con SPF o DKIM. Consulta siempre el alcance vigente del proveedor receptor.

Estos tres protocolos suenan técnicos (y lo son), pero entender qué hacen es más simple de lo que parece.

SPF: quién tiene permiso de enviar

SPF (Sender Policy Framework) es como una lista de invitados en la puerta de un evento. Le dice a los servidores de email: “estos son los servidores autorizados para enviar emails en nombre de mi dominio”.

Cuando envías un email a través de tu plataforma de email marketing, el servidor receptor verifica si esa plataforma está en tu lista SPF. Si no está, el email se marca como sospechoso.

Cómo funciona: se publica un registro TXT que autoriza a los emisores. Revisa la configuración cuando cambien los servicios que envían para ese dominio; no agregues un segundo registro SPF independiente.

DKIM: verificar que el email no fue alterado

DKIM (DomainKeys Identified Mail) añade una firma digital a las partes firmadas del mensaje. No cifra el contenido. El receptor verifica la firma mediante la clave pública del dominio firmante:

Que la firma corresponde al dominio firmante
Que el contenido no fue modificado en el camino

Si la firma no coincide, el email se considera potencialmente falsificado.

Cómo funciona: se generan dos claves (una pública y una privada). La clave pública se publica en tu DNS; la privada la usa tu plataforma de envío para firmar cada email.

DMARC: la política que define qué hacer

DMARC (Domain-based Message Authentication, Reporting and Conformance) evalúa si al menos uno de SPF o DKIM autentica correctamente y se alinea con el dominio visible en From. Publica una política para los mensajes que no superan esa comprobación:

none: solicitar supervisión sin una acción de rechazo por DMARC; el receptor conserva sus propios filtros
quarantine: mandar a cuarentena (spam)
reject: rechazar directamente

Además, DMARC te envía reportes sobre quién está intentando enviar emails usando tu dominio. Es tu sistema de alerta contra phishing y suplantación de identidad.

Qué pasa si no los tienes configurados

Las consecuencias son concretas y graves:

Tus emails caen en spam. Gmail, Yahoo, Outlook y otros proveedores penalizan duramente los emails sin autenticación.
Tu dominio pierde reputación. Cada email que rebota o se marca como spam daña la reputación de tu dominio. Recuperarla lleva meses.
Alguien puede enviar emails haciéndose pasar por ti. Sin DMARC, cualquiera puede falsificar tu dirección de remitente para hacer phishing. Eso afecta directamente la confianza en tu marca.
Menor tasa de entrega, menor tasa de apertura, menor ROI. Es una cadena: si los emails no llegan, nada funciona.

Cómo saber si los tienes configurados

Puedes verificarlo de varias formas:

Usa herramientas gratuitas como MXToolbox o Google Admin Toolbox
envía un email de prueba a mail-tester.com y revisa el puntaje
O directamente, usa la verificación de SPF/DKIM/DMARC de Fleetmailer, que te muestra el estado de tu autenticación y te indica exactamente qué falta configurar

Cómo configurarlos

Lo que necesitas

Acceso a la configuración DNS de tu dominio (generalmente desde tu proveedor de hosting o registrador de dominio)
Los registros SPF y DKIM que te proporciona tu plataforma de email marketing
15-30 minutos de tu tiempo (o el de tu equipo técnico)

Pasos generales

SPF: Integra el valor indicado por tu plataforma en el registro SPF existente, si ya tienes uno
DKIM: Agrega los registros CNAME o TXT con las claves DKIM
DMARC: Crea un registro TXT con tu política (empieza con “none” para monitorear, y sube a “quarantine” o “reject” cuando estés seguro)
Verifica: Usa la herramienta de verificación de Fleetmailer para confirmar que todo está correctamente configurado

La propagación DNS puede tardar entre 15 minutos y 48 horas, así que no te alarmes si no se refleja inmediatamente.

No es opcional

Configura y revisa la autenticación con tu proveedor. Cuando incorpores otro servicio de envío, comprueba de nuevo los registros y la alineación. La autenticación no garantiza llegar a la bandeja principal.

Para llevarlo a la práctica

Puedes conocer las herramientas de entregabilidad. Para ampliar este tema, continúa con nuestra guía relacionada.