SPF: ¿qué servidores pueden enviar correo?
Sender Policy Framework publica en DNS qué equipos pueden enviar correo utilizando un dominio en la identidad SMTP MAIL FROM. El receptor compara la IP con la política, pero SPF no garantiza por sí solo que coincida con el From visible.
DKIM: ¿está firmado el mensaje?
DomainKeys Identified Mail añade una firma criptográfica a determinadas partes del mensaje. El receptor obtiene la clave pública desde DNS mediante dominio y selector y verifica la integridad de los elementos firmados. Una firma válida no confirma que el contenido sea inocuo.
DMARC: alineación y tratamiento de fallos
DMARC exige que el dominio visible en From esté alineado con una identidad SPF o DKIM que supere la comprobación. La política DNS puede pedir solo seguimiento (p=none), cuarentena o rechazo y permite informes agregados.
¿Qué debes configurar primero?
Identifica todos los servicios autorizados a enviar correos, ajusta SPF y DKIM y comprueba entregas reales. Empieza DMARC en modo de seguimiento, revisa los informes y aumenta la protección cuando los remitentes legítimos estén alineados.
Errores habituales
Varios registros SPF, políticas +all muy permisivas, demasiadas consultas DNS, selectores DKIM incorrectos y problemas de alineación provocan fallos. Publicar registros no demuestra que todos los mensajes reales se autentiquen correctamente.
¿Qué exige Gmail actualmente?
Los grandes proveedores aplican requisitos de autenticación, control del spam y, para ciertos volúmenes y tipos de envío, DMARC y opciones de cancelación de suscripción. Las normas cambian: consulta siempre los requisitos oficiales actualizados de Google y de tu proveedor.
¿Qué verifica nuestra herramienta?
splet.me consulta registros públicos SPF y DMARC y, cuando indicas el selector, DKIM. Señala algunos problemas de configuración, pero no evalúa todas las inclusiones SPF ni comprueba las firmas de un mensaje concreto; para eso hay que revisar sus cabeceras.