SPF, DKIM y DMARC: por qué tus correos llegan a spam y cómo evitarlo

Enviaste la propuesta a un cliente importante. Pasan dos días sin respuesta. Lo llamas y te dice: “Nunca me llegó”. Revisa la carpeta de spam y ahí está, junto a las ofertas de casinos.

No es mala suerte. Para Gmail y los demás proveedores, un correo que no demuestra de dónde viene es sospechoso. Esa demostración tiene tres nombres técnicos: SPF, DKIM y DMARC. Esto es lo que son y por qué ya no son opcionales.

¿Qué son SPF, DKIM y DMARC?

Son tres registros que se configuran en el DNS de tu dominio para demostrar que un correo realmente salió de tu empresa.

Registro	Qué hace	Analogía
SPF	Lista los servidores autorizados a enviar con tu dominio	La lista de personas autorizadas a firmar por la empresa
DKIM	Firma cada correo con una clave digital	El sello que prueba que el sobre no se abrió
DMARC	Dice qué hacer si fallan los anteriores y envía reportes	El protocolo de seguridad cuando algo no cuadra

¿Qué exige Gmail a quien envía correos?

Desde el 1 de febrero de 2024, Gmail tiene requisitos para todos los remitentes y otros más estrictos para quienes envían mucho. Según las directrices oficiales de Google para remitentes:

Para todos los remitentes:

• Autenticación con SPF o DKIM.
• Registros DNS válidos para los dominios e IP de envío.
• Conexión TLS para transmitir el correo.
• Tasa de spam por debajo de 0,30 % en Postmaster Tools.
• No suplantar a nadie en el encabezado “From:”.

Además, para quienes envían más de 5.000 mensajes al día:

• DMARC configurado en el dominio.
• Alineación: el dominio del “From:” debe coincidir con el de SPF o DKIM.
• Baja con un clic en los correos de marketing y suscripción.

Error común: enviar campañas desde un correo gratuito o desde una herramienta sin autenticar tu dominio. Los primeros cientos llegan; después, todo empieza a caer en spam y tu dominio queda con mala reputación.

¿Cómo los configuro en mi dominio?

1. Haz un inventario de todo lo que envía correos con tu dominio: tu proveedor de correo, tu CRM, tu herramienta de email marketing, tu tienda.
2. Publica un solo registro SPF que incluya a todos esos servicios.
3. Activa DKIM en cada servicio y publica sus claves en el DNS.
4. Publica DMARC en modo de monitoreo (p=none) y revisa los reportes unas semanas.
5. Endurece la política a quarantine o reject cuando todo lo legítimo pase.

Ojo: el DNS también controla tu web y la recepción de tu correo. Un cambio mal hecho puede dejar a tu empresa sin correo. Haz una copia de los registros actuales antes de tocar algo y cambia solo los registros de autenticación.

¿Por qué esto también importa para tu marketing?

Porque sin autenticación, tus campañas no llegan. Si haces email marketing, la herramienta puede ser excelente, pero si tu dominio no está autenticado, el correo termina en spam. Lo vemos aplicado en email marketing con Zoho Campaigns. Además, un dominio con correo bien configurado facilita trámites como la verificación del negocio en Meta por dominio.

Si tu DNS está en Cloudflare, gestionar estos registros es más sencillo; te contamos qué trae su plan gratuito en Cloudflare para pymes.

En resumen

SPF dice quién puede enviar, DKIM firma cada correo y DMARC define qué hacer si algo falla. Desde 2024 Gmail los exige, y sin ellos tus propuestas y campañas terminan junto a las ofertas de casinos. Bien configurados, tu correo vuelve a llegar a la bandeja de entrada. Lo revisamos y configuramos en nuestro servicio de hosting y dominios.