SPF, DKIM y DMARC explicados: autenticación de email para dueños de tiendas

SPF, DKIM y DMARC son tres registros DNS que demuestran que un email viene realmente de tu dominio. Sin ellos, cualquiera puede enviar emails que dicen venir de tu tienda, y los proveedores de correo no tienen forma de distinguir tu boletín real de una estafa. Gmail, Yahoo y Outlook ya los exigen a los remitentes masivos, así que han dejado de ser opcionales para una tienda que hace marketing por email.

Esta guía explica cada registro en palabras sencillas, muestra su aspecto, te guía en la configuración y trata la alineación, el detalle que hace tropezar a la mayoría. Termina con BIMI, el estándar más reciente que muestra tu logo en algunas bandejas de entrada.

SPF (Sender Policy Framework) es una lista de los servidores y servicios autorizados a enviar email por tu dominio. Cuando llega un mensaje, el servidor receptor comprueba si el servidor que envía está en la lista. Un registro SPF sencillo tiene este aspecto:

v=spf1 include:_spf.google.com include:sendingservice.example ~all

• v=spf1: Marca el registro como SPF.
• include:: Añade la lista de servidores de otro servicio, como tu proveedor de correo y tu herramienta de marketing por email.
• ~all o -all: Dice qué hacer con todos los demás: ~all es “soft fail” (tratar con sospecha) y -all es “fail”.

Dos reglas hacen tropezar a mucha gente. Solo puedes tener un registro SPF por dominio, así que añade los servicios nuevos al registro existente en lugar de crear otro. Y SPF permite como máximo 10 búsquedas DNS: el estándar, RFC 7208, sección 4.6.4, dice que las implementaciones deben limitar a 10 los mecanismos include, a, mx, ptr y exists y el modificador redirect, y que superar ese límite devuelve un error permanente. Cada include cuenta, y algunos include contienen más include, así que los registros largos se rompen sin avisar.

DKIM (DomainKeys Identified Mail) añade una firma digital a cada email. Tu servicio de envío firma el mensaje con una clave privada, y tú publicas la clave pública correspondiente en DNS. El receptor la usa para comprobar que la firma es válida y que el mensaje no se cambió por el camino.

El registro está bajo un “selector”, un nombre que elige tu servicio de envío, como s1._domainkey.yourstore.com. Cada servicio desde el que envías tiene su propio selector, así que puedes tener varios registros DKIM sin conflicto. Tu herramienta de email te da el nombre y el valor exactos que debes publicar.

DMARC (Domain-based Message Authentication, Reporting and Conformance) vincula SPF y DKIM a la dirección que la gente ve en la línea del remitente (From), les dice a los receptores qué hacer con los emails que fallan y les pide que te envíen informes. Un registro inicial tiene este aspecto:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourstore.com

• p=none: Solo supervisión. Los receptores entregan como siempre, pero te envían informes. Gmail, Yahoo y Outlook lo aceptan como mínimo para los remitentes masivos.
• p=quarantine: Los emails que fallan van a spam.
• p=reject: Los emails que fallan se rechazan.
• rua=: Adónde van los informes agregados diarios. Muestran quién envía emails en nombre de tu dominio y si pasan.

Empieza con p=none, lee los informes durante unas semanas para encontrar cada servicio que envía en tu nombre (tu tienda, tu servicio de atención al cliente, tu herramienta de facturación), corrige los que fallan, y luego pasa a quarantine y más tarde a reject. Saltar directamente a reject puede bloquear tus propios emails legítimos.

DMARC solo pasa si SPF o DKIM pasa y el dominio comprobado coincide con el dominio de tu dirección del remitente (From). Esto se llama alineación. Un mensaje puede pasar SPF para el dominio de tu herramienta de email y aun así fallar en DMARC si la dirección del remitente dice yourstore.com. La solución habitual es firmar con DKIM usando tu propio dominio, algo que tu herramienta de email configura cuando añades el registro DKIM que te da. Las directrices para remitentes de Gmail exigen que los remitentes masivos alineen el dominio del remitente (From) con SPF o DKIM.

• Haz una lista de cada servicio que envía email en nombre de tu dominio: tu proveedor de correo, tu plataforma de tienda, tu herramienta de marketing por email, tu servicio de atención al cliente, tu facturación, etc.
• En tu proveedor de DNS (a menudo tu registrador de dominios o Cloudflare), busca o crea el registro TXT de SPF e incluye cada servicio. Mantén un solo registro y cuenta las búsquedas.
• Añade los registros DKIM que te da cada servicio de envío.
• Añade un registro DMARC en _dmarc con p=none y una dirección para los informes.
• Envía emails de prueba a Gmail y abre “Mostrar original” (Show original) para confirmar que SPF, DKIM y DMARC dicen PASS.
• Lee los informes de DMARC durante unas semanas, corrige lo que falle y luego endurece la política.

Los cambios de DNS pueden tardar en verse en todas partes. Si una comprobación falla justo después de publicar, espera y vuelve a intentarlo antes de cambiar el registro.

BIMI (Brand Indicators for Message Identification) permite que las bandejas de entrada compatibles muestren tu logo junto a tus emails. Se apoya en DMARC, no lo reemplaza. La guía de configuración de BIMI de Google, comprobada el 19 de octubre de 2026, dice que Gmail necesita:

• Una política DMARC de quarantine o reject, con pct en 100. Solo supervisión (p=none) no cumple el requisito.
• Un Verified Mark Certificate (VMC), que requiere un logo con marca registrada, o un Common Mark Certificate (CMC) si tu logo no tiene marca registrada.
• El logo en formato SVG Tiny Portable/Secure (SVG Tiny PS), de al menos 96 por 96 píxeles.

BIMI vale la pena para las marcas que ya tienen un DMARC estricto y quieren ese reconocimiento adicional. Para la mayoría de las tiendas, lo primero es tener bien SPF, DKIM y DMARC. SmartyTap no configura BIMI por ti; tendrías que publicar el registro BIMI y el certificado con tu proveedor de DNS y tu proveedor de certificados.

Cuando añades un dominio de envío en SmartyTap, te da el registro DKIM que debes publicar, comprueba los registros DNS de tu dominio (incluidos DKIM y DMARC) y te dice qué falta por corregir. Después, los dominios de envío nuevos siguen un calendario de calentamiento, y la baja con un clic y la supresión automática de rebotes y quejas vienen integradas. Consulta la autenticación del dominio de email en la documentación.

SmartyTap Starter cuesta US$20 al mes para 2500 contactos, 25 000 emails y 250 créditos/segmentos de SMS. Pro cuesta US$199 al mes (o US$1990 al año) para 25 000 contactos, 250 000 emails y 2500 créditos/segmentos de SMS. Un crédito cubre un segmento y cuesta 2 centavos de dólar. Los espacios de trabajo nuevos necesitan un plan de pago para enviar, y no hay prueba gratuita. Consulta los precios de SmartyTap.

Glosario: SPF, DKIM, DMARC y BIMI. Sigue leyendo: guía de entregabilidad de email, cómo limpiar tu lista de emails, marketing por email para Shopify y lista de control de email y SMS para Black Friday.

SPF indica qué servidores pueden enviar emails por tu dominio. DKIM firma cada mensaje para que los receptores confirmen que vino de tu dominio sin cambios. DMARC comprueba que uno de los dos coincida con tu dirección del remitente (From), les dice a los receptores qué hacer cuando no coinciden y te envía informes.

Si envías de forma masiva, sí. Gmail, Yahoo y Outlook exigen SPF, DKIM y un registro DMARC (como mínimo p=none) a los remitentes masivos (comprobado el 19 de octubre de 2026), y los tres mejoran la llegada a la bandeja de entrada también para remitentes más pequeños.

No. Un dominio debe tener exactamente un registro SPF. Dos registros hacen que SPF falle. Combina todos los servicios en un solo registro y mantenlo por debajo de 10 búsquedas DNS.

Empieza con p=none y una dirección para los informes. Cuando los informes muestren que todo tu email legítimo pasa, cambia a p=quarantine y luego a p=reject.