Cuando los mails de una empresa llegan a spam, o rebotan con mensajes como "unauthenticated email", casi siempre el problema está en tres registros DNS: SPF, DKIM y DMARC. Desde 2024, Gmail y Yahoo exigen autenticación para aceptar correo de forma confiable, así que dejar el dominio sin configurar ya no es una opción.
Esta guía explica qué hace cada registro y cómo dejarlos funcionando en un dominio que usa Google Workspace.
Qué hace cada registro
| Registro | Qué responde | Dónde se publica |
|---|---|---|
| SPF | ¿Qué servidores pueden mandar mails con este dominio? | TXT en la raíz del dominio |
| DKIM | ¿El mail fue firmado por el dominio y no se alteró en el camino? | TXT en google._domainkey |
| DMARC | ¿Qué hacer con los mails que no pasan SPF ni DKIM, y a quién avisar? | TXT en _dmarc |
Los tres se complementan: SPF y DKIM autentican, y DMARC indica la política y pide reportes.
Antes de empezar
- Acceso de administrador a la consola de Google Workspace.
- Acceso al panel DNS del dominio (NIC Argentina delega el DNS a un proveedor: Hostinger, Cloudflare, el hosting de la web, etc.). Lo que importa es dónde están los servidores DNS, no dónde se compró el dominio.
- Una lista de todo lo que manda mails con el dominio: Workspace, la web (formularios), el sistema de facturación, herramientas de mailing como Mailchimp o Brevo, el CRM. Si alguno queda afuera del SPF, sus mails van a fallar.
Paso 1: publicar el registro SPF
En el panel DNS, crear (o editar) un solo registro TXT en la raíz del dominio (@):
v=spf1 include:_spf.google.com ~all
Si otros servicios mandan correo con el dominio, se agregan con su propio include en el mismo registro:
v=spf1 include:_spf.google.com include:spf.brevo.com ~all
Errores comunes:
- Dos registros SPF en el mismo dominio: invalida los dos. Tiene que haber uno solo.
- Más de 10 consultas DNS (cada
includecuenta, y los suyos también): el SPF falla con permerror. Si hay muchos servicios, conviene revisar cuáles siguen en uso. - Terminar con
+all: autoriza a cualquiera. Lo correcto es~all(marcar como sospechoso) o-all(rechazar).
Paso 2: activar DKIM en Google Workspace
- En la consola de administración: Aplicaciones → Google Workspace → Gmail → Autenticar correo electrónico.
- Elegir el dominio y Generar un registro nuevo, con clave de 2048 bits y prefijo
google. - Copiar el valor que genera Google y publicarlo en el DNS como registro TXT con nombre
google._domainkey. - Esperar a que el DNS se propague (de minutos a unas horas) y volver a la consola para tocar Iniciar autenticación.
Si el proveedor de DNS no acepta textos largos, el valor se puede dividir en varias cadenas entre comillas dentro del mismo registro. La mayoría de los paneles actuales lo hacen solos.
Paso 3: publicar DMARC en modo monitoreo
Crear un registro TXT con nombre _dmarc:
v=DMARC1; p=none; rua=mailto:dmarc@empresa.com.ar; adkim=r; aspf=r
p=none: no bloquea nada todavía; solo pide reportes. Es el punto de partida seguro.rua: casilla que recibe los reportes agregados (llegan como adjuntos XML una vez por día). Conviene usar una casilla o un grupo dedicado, porque llegan muchos.
Paso 4: verificar que todo funciona
- Mandar un mail desde Workspace a una cuenta de Gmail externa.
- En Gmail, abrir el mensaje → menú ⋮ → Mostrar original.
- Tienen que aparecer SPF: PASS, DKIM: PASS y DMARC: PASS.
También sirven herramientas como el Check MX de Google Admin Toolbox o cualquier verificador de SPF/DMARC en línea, para detectar errores de sintaxis.
Paso 5: pasar de monitoreo a protección
Con p=none, nadie puede usar el dominio para estafar… pero tampoco se bloquea a quien lo intente. Después de 2 a 4 semanas de reportes sin fallas de servicios legítimos:
- Cambiar a
p=quarantine(los mails que fallan van a spam). Opcionalmente, empezar conpct=25para aplicarlo a una parte del tráfico. - Revisar los reportes otras semanas.
- Pasar a
p=reject(los mails falsos se rechazan).
v=DMARC1; p=reject; rua=mailto:dmarc@empresa.com.ar
Si en los reportes aparece un servicio legítimo que falla (por ejemplo, el sistema de facturación), se corrige antes de endurecer la política: sumándolo al SPF o activando su propio DKIM.
Preguntas frecuentes
¿Cuánto tarda en hacer efecto?
Los cambios de DNS suelen propagarse en minutos, aunque pueden tardar hasta 48 horas según el TTL. La mejora en la entrega a la bandeja de entrada puede llevar algunos días, mientras los proveedores recalculan la reputación del dominio.
¿Sirve si el dominio solo se usa para la web?
Sí. Un dominio que no manda correo debería publicar v=spf1 -all y v=DMARC1; p=reject, para que nadie pueda usarlo en mails falsos.
¿DMARC evita que los mails lleguen a spam?
Ayuda, pero no lo garantiza: la reputación, el contenido y el volumen también cuentan. Lo que sí hace es que los proveedores confíen en que el mail es realmente de la empresa.
¿Qué pasa con las casillas de reenvío o las listas de correo?
El reenvío puede romper SPF, pero DKIM suele sobrevivir, y con que uno de los dos pase alineado, DMARC aprueba. Por eso es importante tener los tres configurados.