Herramienta de correo gratuita

Comprobar SPF y DMARC de tu dominio

Con esta herramienta puedes comprobar SPF y DMARC de tu dominio y ver en segundos si otros servidores de correo pueden confiar en tus emails. Escribe tu dominio y verás tu registro SPF con las consultas DNS que usa, tu política DMARC con la dirección de informes y si hay una clave DKIM publicada en los selectores más habituales.

Gratis, sin cuenta

¿Está bien configurado mi correo?

Tu correo está bien configurado cuando tu dominio tiene exactamente un registro SPF válido, un registro DMARC en _dmarc con la política quarantine o reject y firma DKIM de tu proveedor de correo. SPF indica qué servidores pueden enviar por tu dominio, DKIM firma cada mensaje y DMARC dice a los receptores qué hacer cuando un mensaje no pasa la comprobación. Si faltan registros, es más fácil suplantar tu dirección y tu correo real puede acabar en spam.

Qué revisa esta comprobación

La herramienta lee los registros DNS públicos de tu dominio, los mismos que lee un servidor de correo cuando llega tu email. No se envía nada desde tu buzón y no tienes que iniciar sesión en ningún sitio. Recibes tres tarjetas de resultado: una para SPF, otra para DMARC y otra para DKIM. Cada tarjeta es verde, naranja o roja y muestra el registro encontrado con una breve explicación de cada problema.
  • SPF: si existe un registro, si es válido y cuántas de las 10 consultas DNS permitidas usa
  • SPF: más de un registro, errores de sintaxis, includes que apuntan a un dominio sin SPF, el mecanismo obsoleto ptr y cómo termina el registro (~all, -all, ?all o +all)
  • DMARC: si existe un registro en _dmarc, qué política establece y qué direcciones de informes (rua) incluye
  • DMARC: más de un registro, una política no válida, falta de dirección de informes y un valor pct inferior a 100
  • DKIM: si hay una clave publicada en los selectores más habituales

Cómo leer el resultado

Verde significa que el registro existe y la herramienta no ha encontrado problemas. Naranja significa que funciona pero deja un hueco, por ejemplo una política DMARC none o ninguna clave DKIM en los selectores probados. Rojo significa que el registro falta o está roto, así que los receptores no pueden usarlo. SPF solo es válido si no supera 10 consultas DNS. Cuentan cada include, a, mx, ptr y exists y el modificador redirect, y también los includes que hay dentro de otro include. Por encima de 10 el resultado es un error permanente y los receptores tratan tu correo como si SPF hubiera fallado. Las entradas ip4 e ip6 no gastan consultas. El final de tu registro SPF decide qué pasa con el correo de servidores que no aparecen en él. -all pide a los receptores que lo rechacen, ~all que lo acepten pero lo marquen (softfail), ?all no dice nada y +all permite que cualquier servidor del mundo envíe por ti. Un registro sin all al final se comporta como ?all. En DMARC, none solo recoge informes, quarantine pide tratar el correo que falla como sospechoso (normalmente la carpeta de spam) y reject pide rechazarlo.

Errores frecuentes

La mayoría de los problemas aparecen al añadir un nuevo servicio de correo sin limpiar la configuración anterior.
  • Dos registros SPF en un mismo dominio, por ejemplo uno de tu hosting y otro de tu herramienta de newsletter. Los receptores devuelven un error y SPF no cuenta. Únelos en un solo registro.
  • Demasiados includes. Cada servicio que envía añade su propio include y algunos contienen otros includes, así que llegas a 10 consultas antes de lo que crees.
  • Un registro que termina en +all o ?all, que no protege nada.
  • Un registro DMARC que se queda años en p=none, de modo que el correo falsificado se sigue entregando.
  • No poner dirección de informes (rua) en DMARC, así nunca ves qué servidores envían correo en tu nombre.
  • Publicar el registro DMARC en el propio dominio en lugar de en _dmarc.tudominio.
  • Pensar que falta DKIM porque la comprobación no encontró ninguna clave. La herramienta solo prueba los selectores habituales, y un proveedor con su propio nombre de selector puede firmar tu correo igualmente. Pregunta a tu proveedor qué selector usa.

Qué hacer después

Arregla primero las tarjetas rojas. Si falta SPF o está roto, crea un registro limpio con el generador SPF y sustituye el antiguo en tu proveedor de DNS. Si falta DMARC, publica un registro con p=none y una dirección de informes, lee los informes durante unas semanas y pasa a quarantine y luego a reject cuando todo tu correo real pase. Ese camino gradual es también el que describe el estándar DMARC para los propietarios de dominios. Si envías más de 5.000 mensajes al día a direcciones de Gmail, Google exige SPF, DKIM y DMARC (basta con la política none) y un dominio en el campo From alineado con SPF o DKIM. El resto de remitentes necesita al menos SPF o DKIM. Los cambios de DNS tardan en propagarse, a menudo unas horas. Vuelve a comprobar después para confirmar que el nuevo registro está activo.

Cómo usar la comprobación

  1. Escribe tu dominio

    Escribe el dominio desde el que envías correo, por ejemplo tuempresa.es, sin https:// ni www.

  2. Lee las tres tarjetas

    Empieza por las tarjetas rojas y luego las naranjas. Cada tarjeta muestra el registro encontrado y qué significa el problema.

  3. Corrige y vuelve a comprobar

    Cambia el registro en tu proveedor de DNS, espera unas horas y vuelve a comprobarlo.

Preguntas frecuentes

¿Qué diferencia hay entre SPF, DKIM y DMARC?
SPF es una lista en el DNS con los servidores que pueden enviar correo por tu dominio. DKIM añade una firma digital a cada mensaje, que los receptores verifican con una clave pública de tu DNS. DMARC une ambos: comprueba que SPF o DKIM pasen para el dominio de la dirección From visible y dice a los receptores qué hacer si ninguno pasa.
¿Por qué mi registro SPF no puede superar 10 consultas?
El estándar SPF (RFC 7208) limita include, a, mx, ptr, exists y el modificador redirect a 10 por comprobación. Por encima, el resultado es un error permanente y los receptores tratan tu correo como si SPF hubiera fallado. Quita los servicios que ya no usas o pide a un proveedor direcciones ip4 o ip6 fijas, que no gastan consultas.
¿Uso ~all o -all?
~all (softfail) es un buen punto de partida mientras averiguas todos los servicios que envían por ti. Cuando todos los remitentes reales estén en el registro, -all da la señal más clara. Microsoft, por ejemplo, recomienda -all para dominios que también usan DKIM y DMARC.
Mi dominio tiene dos registros SPF. ¿Es un problema?
Sí. Un dominio solo puede tener un registro SPF. Con dos, los receptores devuelven un error e ignoran SPF. Junta las entradas de ambos en un único registro que empiece por v=spf1 y termine con un solo all.
La comprobación no encuentra ninguna clave DKIM. ¿Me falta DKIM?
No necesariamente. Una clave DKIM está bajo un nombre de selector que elige cada proveedor, y la herramienta prueba los más habituales. Pide a tu proveedor de correo el selector y el registro DKIM, y añádelo si todavía no está.
¿SitePack configura estos registros por mí?
En los dominios gestionados en SitePack, los registros SPF y DKIM de tu correo de SitePack se crean por ti. El registro DMARC lo añades tú en los registros DNS de tu dominio, con la gestión de DNS incluida gratis.

Herramientas y guías relacionadas

Correo profesional bien configurado desde el primer día

Una web desde 15 € al mes con facturación anual, con tu propio dominio, un buzón de 5 GB y SPF y DKIM ya configurados. Pruébalo gratis 14 días, sin datos de pago.

Empieza tu prueba gratis Ver precios
Preferencias de cookies

Las cookies nos ayudan a proporcionar, proteger y mejorar nuestros productos y servicios. Al utilizar nuestro sitio web, acepta nuestro uso de cookies.