SPF, DKIM y DMARC: cómo autenticar tu dominio para no caer en spam

Si mandás newsletters o promociones desde tu propio dominio, hay tres registros que deciden si tus mails llegan a la bandeja de entrada o terminan en spam: SPF, DKIM y DMARC. Desde 2024, Gmail y Yahoo los piden a quienes envían mails masivos. Acá te explicamos qué hace cada uno y cómo dejarlos andando.

Qué es cada uno, en una línea

• SPF: una lista de los servidores autorizados a enviar mails en nombre de tu dominio.
• DKIM: una firma digital que demuestra que el mail no fue modificado en el camino y que salió de quien dice.
• DMARC: la regla que le indica al proveedor de correo qué hacer si un mail falla SPF o DKIM, y a quién avisarle.

Pensalo como un sobre: SPF es la dirección del remitente, DKIM es el lacre que muestra que nadie lo abrió, y DMARC es la instrucción para el cartero si algo no coincide.

Por qué importa ahora

Google y Yahoo endurecieron sus reglas para los remitentes masivos: piden dominio autenticado, una tasa de quejas por spam baja y un link de baja fácil de usar. Si tu dominio no está autenticado, aunque el mail sea perfecto, puede no llegar.

Cómo configurarlos, paso a paso

1. Entrá al panel DNS de tu dominio. Suele estar en el hosting o en el proveedor donde lo registraste.
2. SPF: buscá si ya tenés un registro TXT que empieza con v=spf1. No crees un segundo: sumá al existente el include que te indicamos desde Send Mailing.
3. DKIM: cargá el registro con la clave que te damos al verificar tu remitente en la plataforma.
4. DMARC: creá un TXT en _dmarc.tudominio.com. Para empezar alcanza con v=DMARC1; p=none; rua=mailto:tu@tudominio.com. Cuando veas que todo pasa bien, podés endurecerlo a p=quarantine.
5. Esperá la propagación (de unos minutos a 48 horas) y verificá el remitente en Send Mailing.

Errores comunes

• Tener dos registros SPF: invalida los dos.
• Enviar desde una casilla gratuita (Gmail, Hotmail) en lugar de tu dominio: no la podés autenticar.
• Activar DMARC estricto antes de revisar que SPF y DKIM pasen.

Si te trabás en algún paso, escribinos y te ayudamos a revisar tus registros.

Cómo saber si quedó bien

Cuando termines, mandate un mail a una casilla de Gmail, abrilo y elegí Mostrar original en el menú de los tres puntos. Arriba vas a ver tres líneas: SPF, DKIM y DMARC. Si las tres dicen PASS, está todo en orden. Si alguna dice FAIL o no aparece, revisá ese registro en tu DNS.

También podés usar herramientas gratuitas que consultan tus registros públicos y te marcan errores de sintaxis, como un espacio de más o una comilla mal puesta. Son los errores más comunes y los más fáciles de corregir.

Qué hacer con DMARC después de las primeras semanas

Arrancar con p=none es lo prudente: no bloquea nada y te deja ver quién manda mails en nombre de tu dominio. Con los reportes que llegan a la casilla de rua vas a descubrir, por ejemplo, que tu sistema de facturación o tu tienda online también envían mails con tu dominio y que hay que sumarlos al SPF.

Cuando todo lo legítimo pase sin problemas, podés subir a p=quarantine (los mails que fallan van a spam) y más adelante a p=reject (directamente se rechazan). Cada paso protege más tu dominio de quien quiera hacerse pasar por vos.

La autenticación es el piso, no el techo

Con SPF, DKIM y DMARC configurados, los proveedores saben que el mail es tuyo. Pero que llegue a la bandeja de entrada también depende de cómo te comportás como remitente:

• Mandar solo a gente que te dio permiso. Si estás armando tu base, mirá cómo sumar contactos sin comprar bases de datos.
• Sacar de la lista a quienes rebotan o no abren hace meses.
• Incluir siempre un link de baja visible y fácil.
• Mantener una frecuencia razonable: ni un mail por año ni cinco por semana.

En Send Mailing te guiamos para configurar los tres registros y la plataforma vigila tu reputación de envío. Podés ver todo lo que incluye en Características.