Guía

SPF, DKIM y DMARC: por qué tus correos llegan a spam y cómo evitarlo

SPF, DKIM y DMARC son tres registros DNS que demuestran que los correos de tu dominio los envías tú. SPF dice qué servidores pueden enviar, DKIM firma cada mensaje y DMARC le indica al receptor qué hacer si algo no cuadra. Sin ellos, Gmail y Outlook pueden mandar tus correos a spam.

Por Equipo técnico Znet-Hosting · Publicada el 3 de octubre de 2026

Por qué tus correos llegan a spam

Cuando envías un correo, el servidor que lo recibe se pregunta: ¿este mensaje viene de verdad de ferreteriaosorno.cl, o alguien se está haciendo pasar por ellos? Para responder, revisa los registros de tu dominio.

Si no encuentra pruebas, desconfía. Por eso un dominio sin SPF, DKIM ni DMARC tiene más probabilidades de terminar en la carpeta de spam, aunque tus correos sean perfectamente legítimos.

SPF: quién puede enviar en tu nombre

El SPF (Sender Policy Framework) es una lista publicada en tus DNS con los servidores autorizados a enviar correos de tu dominio. Es un registro de tipo TXT y se ve más o menos así:

v=spf1 include:servidor-de-tu-proveedor -all

Se lee así: “solo los servidores de mi proveedor pueden enviar correos de este dominio; rechaza el resto”. Si además envías desde otra plataforma (por ejemplo, una herramienta de newsletters), hay que agregarla a la misma línea: un dominio debe tener un solo registro SPF.

El final de la línea también importa: -all pide rechazar lo que no esté en la lista y ~all (con virgulilla) pide aceptarlo, pero marcarlo como sospechoso. Partir con ~all es una forma prudente de comprobar que no te falta ningún servidor antes de endurecerlo.

DKIM: la firma de cada mensaje

DKIM (DomainKeys Identified Mail) agrega una firma digital a cada correo que sale. El servidor que lo recibe busca en tus DNS la “llave pública” y comprueba que la firma calza y que nadie modificó el mensaje en el camino.

La llave la genera tu proveedor de correo; tú solo la publicas como un registro TXT en tu dominio. Es un texto largo que se copia tal cual.

DMARC: qué hacer con los correos falsos

DMARC une a los dos anteriores y le dice al receptor qué hacer si llega un correo con tu dominio que no pasa SPF ni DKIM. Tiene tres niveles:

• p=none: solo observar y enviarte reportes. Es el punto de partida.
• p=quarantine: mandar a spam los correos sospechosos.
• p=reject: rechazarlos. Es la protección máxima contra suplantación.

Un registro DMARC inicial se ve así:

v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.cl

Lo recomendable es partir en none, revisar los reportes unas semanas y luego subir a quarantine o reject cuando estés seguro de que todos tus envíos legítimos están bien configurados.

Qué exige Gmail desde 2024

Según los lineamientos para remitentes de Gmail (se abre en otra pestaña), desde 2024:

• Todos los remitentes deben tener SPF o DKIM configurado.
• Quien envía 5.000 mensajes o más al día a cuentas de Gmail necesita SPF, DKIM y DMARC, y permitir anular la suscripción con un clic en los correos masivos.
• Google recomienda mantener la tasa de spam reportada bajo el 0,10 % y nunca llegar a 0,30 %.

Aunque una pyme no envíe miles de correos al día, tener los tres configurados es la mejor forma de que tus cotizaciones lleguen a la bandeja de entrada.

Cómo activarlos en tu dominio

1. Pide los valores a tu proveedor de correo

   El SPF y la llave DKIM dependen del servidor que envía tus correos. En ZNE Mail, si tu dominio usa nuestros DNS (ns1 a ns4.znet-host.com), el SPF se crea solo y el DKIM se activa desde tu panel de control. Si tus DNS están en otro lado, soporte te entrega los valores.

2. Entra al panel de tu dominio

   NIC Chile, GoDaddy o donde estén tus DNS.

3. Crea o edita los registros TXT

   Uno para SPF, uno para DKIM y uno para DMARC (en el nombre _dmarc). Si ya existe un SPF, edítalo: no agregues un segundo.

4. Espera y comprueba

   Los cambios pueden tardar desde minutos hasta un par de días en verse.

Si prefieres no tocar los DNS, escríbenos por WhatsApp (se abre en otra pestaña) y lo revisamos contigo.

Cómo revisar que funcionan

La forma más simple: envíate un correo a una cuenta de Gmail, ábrelo y elige “Mostrar original” en el menú de los tres puntos. Arriba verás si el mensaje pasó (PASS) o falló (FAIL) en SPF, DKIM y DMARC.

También puedes revisar tus registros con cualquier herramienta gratuita de consulta DNS: busca el registro TXT de tu dominio (para SPF) y el de _dmarc.tudominio.cl (para DMARC).

Errores frecuentes y cómo corregirlos

Si alguno aparece como FAIL, casi siempre es uno de estos casos:

• Dos registros SPF. Al sumar una plataforma nueva, alguien creó una segunda línea que empieza con v=spf1. El receptor considera inválidas las dos. Júntalas en una sola.
• Demasiados “include”. La norma de SPF permite un máximo de 10 consultas DNS por verificación, y cada “include” cuenta. Si encadenas muchas plataformas, el registro deja de validar. Quita las que ya no uses.
• Llave DKIM cortada o con espacios. Algunos paneles de DNS parten los textos largos o agregan comillas. Pega la llave completa, tal como te la entregaron, y revísala después de guardar.
• DMARC en el nombre equivocado. Va en _dmarc.tudominio.cl, no en el dominio principal.
• Registros del proveedor anterior. Si te cambiaste de proveedor de correo, actualiza el SPF y el DKIM: los antiguos ya no autorizan a tu servidor nuevo.

Son errores rápidos de corregir. Después de cada cambio, vuelve a enviarte un correo de prueba y revisa el resultado en “Mostrar original”.

Si envías desde otras plataformas

Muchas empresas envían correos con su dominio desde más de un lugar: la tienda online que manda confirmaciones de compra, el sistema de facturación o una herramienta de newsletters. Cada una de esas plataformas tiene que estar autorizada:

• En el SPF, agregando su “include” en la misma línea que el de tu correo.
• En DKIM, publicando la llave que te entrega cada plataforma (cada una usa un nombre distinto, así que conviven sin problema).

Por eso es útil partir DMARC en “none”: los reportes te muestran desde dónde salen correos con tu dominio, incluidas plataformas que habías olvidado. Y recuerda: los envíos masivos no se hacen desde tu buzón, sino desde una plataforma de email marketing que cumpla los requisitos de Gmail.