Diferencias entre SPF, DKIM y DMARC: la guía definitiva (2026)

Si alguna vez has intentado configurar la autenticación de tu correo, sabrás que hay tres registros DNS que suenan parecido pero hacen cosas muy distintas: SPF, DKIM y DMARC. La confusión es enorme y las consecuencias de configurarlos mal son graves: desde correos legítimos que acaban en spam hasta campañas de phishing que suplantan tu marca sin que puedas hacer nada.

En esta guía te explico qué hace cada uno, cómo se relacionan, en qué se diferencian y en qué orden configurarlos.

1. Qué son SPF, DKIM y DMARC

Los tres son estándares de autenticación de correo, aprobados por el IETF, que se publican como registros DNS en tu dominio. Cada uno cubre una parte distinta del problema:

• SPF: controla quién puede enviar correo en tu nombre.
• DKIM: controla que el contenido no ha sido alterado en tránsito.
• DMARC: controla qué hacer cuando algo falla.

En conjunto forman la triple defensa contra phishing, spoofing y BEC (Business Email Compromise). Sin los tres, tu dominio es vulnerable.

2. SPF — Sender Policy Framework

SPF es el más fácil de entender: es una lista blanca de IPs y servidores. Cuando alguien envía un correo "desde" @tudominio.com, el servidor receptor consulta tu registro SPF y verifica si la IP del remitente está autorizada.

Ejemplo de registro SPF

tudominio.com  TXT  "v=spf1 include:_spf.google.com include:mailchimp.com ip4:203.0.113.5 -all"

Desglose:

• v=spf1: versión del protocolo. Obligatorio.
• include:_spf.google.com: Google Workspace puede enviar en tu nombre.
• include:mailchimp.com: Mailchimp también.
• ip4:203.0.113.5: además, esta IP específica.
• -all: rechaza todo lo que no esté en la lista (Fail). Alternativa: ~all (SoftFail).

Qué NO protege SPF:

• Si un servidor autorizado reenvía tu correo, el receptor puede verlo como fraudulento (rompe SPF).
• No protege contra manipulación del contenido una vez enviado.
• No tiene "consecuencias": SPF por sí solo no dice qué hacer si falla.

3. DKIM — DomainKeys Identified Mail

DKIM usa criptografía de clave pública. Tu servidor de correo firma cada mensaje saliente con una clave privada que solo él conoce. El receptor consulta tu clave pública (publicada en DNS) y verifica la firma.

Si alguien modifica el mensaje en tránsito, la firma dejará de ser válida y el receptor lo sabrá.

Ejemplo de registro DKIM

Imagina que tu proveedor de correo firma con el selector google. En DNS tendrías:

google._domainkey.tudominio.com  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQD..."

Desglose:

• google: el selector. Cada proveedor puede usar el suyo (puedes tener varios).
• v=DKIM1: versión. Obligatorio.
• k=rsa: algoritmo. Normalmente RSA.
• p=...: clave pública (cadena larga base64).

Qué NO protege DKIM:

• No dice si el servidor remitente está autorizado (eso es SPF).
• No tiene "consecuencias" si falla (eso es DMARC).
• La clave pública debe publicarse correctamente o el receptor no podrá verificar.

4. DMARC — Domain-based Message Authentication, Reporting & Conformance

DMARC es el "director de orquesta". Él solo no autentica nada, pero usa SPF y DKIM para decidir qué hacer con cada correo. Además, permite recibir reportes de todos los correos que fallan, lo que es oro puro para detectar suplantación.

Ejemplo de registro DMARC

_dmarc.tudominio.com  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@tudominio.com; pct=100"

Desglose:

• v=DMARC1: versión. Obligatorio.
• p=reject: política. Si SPF y DKIM fallan, rechaza el correo. Alternativas: none (solo monitoriza) y quarantine (manda a spam).
• rua=mailto:dmarc@tudominio.com: dirección donde recibir reportes agregados (uno por dominio remitente cada 24h).
• pct=100: aplicar la política al 100% de los correos.

Qué SÍ protege DMARC:

• Da "consecuencias" a los fallos de SPF y DKIM.
• Genera reportes para detectar suplantación.
• Es obligatorio desde 2024 para Gmail y Yahoo.
• Es el único de los tres que puedes "auditar" a simple vista.

5. Diferencias clave: tabla comparativa

6. Orden correcto de configuración

El orden importa. Si configuras DMARC antes de SPF y DKIM, tendrás una política sin nada que verificar.

Paso 1 · SPF (primero)

Averigua qué servidores envían correo en tu nombre:

• Tu proveedor de correo corporativo (Google Workspace, Microsoft 365...).
• Herramientas de newsletter (Mailchimp, SendGrid, Brevo...).
• Formularios de contacto web.
• Plataformas de facturación (Stripe, Holded...).

Crea el registro SPF con todos esos include:.

Paso 2 · DKIM (segundo)

Activa DKIM en cada proveedor y publica el selector correspondiente en DNS. Microsoft 365, por ejemplo, te da el contenido exacto del registro TXT que debes publicar.

Paso 3 · DMARC en modo monitor (tercero)

Publica DMARC con p=none:

_dmarc.tudominio.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com"

Analiza los reportes durante 2-4 semanas. ¿Hay fuentes desconocidas enviando en tu nombre? ¿Todos tus canales legítimos pasan SPF y DKIM?

Paso 4 · Endurecer DMARC

Cuando estés seguro de que solo tus fuentes legítimas envían correo:

_dmarc.tudominio.com  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@tudominio.com; pct=50"

Y finalmente:

_dmarc.tudominio.com  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@tudominio.com; pct=100"

7. Errores comunes

Error 1 · Poner DMARC p=reject desde el día 1

Si algún servicio legítimo envía correos en tu nombre y no lo tienes en SPF, esos correos serán rechazados. Empieza siempre con p=none.

Error 2 · Superar los 10 DNS lookups de SPF

Cada include: o a: cuenta como 1 lookup. Con 11 o más, tu SPF empezará a devolver permerror y perderás toda la protección. Si tienes muchos proveedores, plantéate usar un servicio de "SPF flattening".

Error 3 · Olvidar DKIM porque "SPF ya cubre"

SPF no protege contra manipulación del contenido. DKIM sí. Y desde 2024, Gmail exige AMBOS para envíos masivos.

Error 4 · No revisar los reportes DMARC

Recibirás emails en rua con adjuntos XML/XML.gz. Nadie los lee en crudo. Usa un servicio como Postmark DMARC (gratis) para procesarlos visualmente.

Error 5 · Confundir el dominio raíz con subdominios

SPF va en el dominio raíz. Los subdominios necesitan sus propios registros SPF si van a enviar correo. Un @mail.tudominio.com no usa el SPF de tudominio.com.

8. Cómo verificar los tres

Tienes varias formas:

1. Con la auditoría gratuita de Sealgrade: en 30 segundos te dice si tienes SPF, DKIM y DMARC configurados.
2. Con dig desde terminal:

   dig TXT tudominio.com +short
   dig TXT _dmarc.tudominio.com +short
   dig TXT selector._domainkey.tudominio.com +short

3. Con herramientas online: MXToolbox, dmarcian, EasyDMARC, etc.
4. Enviando un correo de prueba a un buzón Gmail y revisando las cabeceras (Authentication-Results).

9. Conclusión

El resumen en 5 líneas:

1. SPF dice quién puede enviar en tu nombre.
2. DKIM firma criptográficamente cada correo.
3. DMARC combina ambos, decide qué hacer y genera reportes.
4. Configúralos en ese orden: SPF → DKIM → DMARC.
5. Empieza con DMARC p=none y endurece progresivamente a p=reject.

En 2026, tener los tres correctamente configurados no es opcional: es la diferencia entre que tus correos lleguen a la bandeja de entrada o al spam, y entre que tu marca sea suplantable o no.