--- title: "SPF, DKIM y DMARC: por qué tus correos acaban en spam" description: "Qué son SPF, DKIM y DMARC, qué exigen Gmail, Yahoo y Outlook a quien envía correo, los errores más habituales y cómo configurarlos paso a paso." url: https://lndigital.es/spf-dkim-dmarc-correo-spam/ --- # SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam 20 de octubre de 20266 min de lecturaPor LN Digital Si los correos de tu empresa llegan a la carpeta de spam, o un cliente te avisa de que ha recibido un correo «tuyo» que tú no enviaste, casi siempre hay detrás lo mismo: tu dominio no tiene bien puestos **SPF, DKIM y DMARC**. Son tres ajustes del dominio que dicen al mundo quién puede enviar correo en tu nombre, y desde 2024 Gmail, Yahoo y Outlook los exigen. Te explicamos qué son, qué pasa si faltan y cómo ponerlos en orden. ![SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam](https://lndigital.es/wp-content/uploads/2026/10/spf-dkim-dmarc-correo-spam.jpg) ## Qué son, en lenguaje claro Cuando envías un correo, el servidor que lo recibe no tiene forma de saber, por sí solo, si de verdad lo has enviado tú. Cualquiera puede poner tu dirección en el remitente. Estos tres ajustes, que se publican como registros en el DNS de tu dominio, sirven para comprobarlo: - **SPF** es la lista de servidores autorizados a enviar correo con tu dominio. Se publica como un registro TXT en el propio dominio (RFC 7208). INCIBE lo describe como «un sistema de defensa ante intentos de suplantación de correos». - **DKIM** es una firma digital que lleva cada correo y que el destinatario comprueba con una clave pública publicada en tu DNS (RFC 6376). Así se sabe que el mensaje sale de tu dominio y que nadie lo ha cambiado por el camino. La clave va en un nombre del tipo `selector._domainkey.tudominio.es`, y se recomienda que sea de al menos 2.048 bits (RFC 8301). - **DMARC** une a los dos y le dice al destinatario **qué hacer** si un correo dice ser tuyo y no pasa la comprobación: nada (`p=none`), tratarlo como sospechoso (`p=quarantine`) o rechazarlo (`p=reject`). Además, te envía **informes** de quién está enviando correo con tu dominio. Se publica en `_dmarc.tudominio.es`. Un detalle importante de DMARC es la **alineación**: no basta con que SPF o DKIM pasen; el dominio que valida tiene que coincidir con el del remitente que ve el destinatario. Si no coincide, DMARC falla aunque los otros dos hayan pasado. DMARC es ahora estándar oficial: en mayo de 2026 se publicó como **RFC 9989**, que sustituye a la versión de 2015 (RFC 7489), que solo era informativa. ## Por qué tus correos acaban en spam Desde **febrero de 2024**, los grandes proveedores de correo piden autenticación a quien les envía correo: - **Gmail** exige a **todos** los remitentes SPF o DKIM, que el servidor tenga DNS inverso (PTR), usar conexiones cifradas (TLS) y mantener la tasa de spam por debajo del 0,3 %. A quien envía **más de 5.000 correos al día** le exige además SPF **y** DKIM, DMARC (basta `p=none`) con alineación y la baja en un clic en los correos comerciales. Y avisa de que, desde noviembre de 2025, aplica estas normas con más dureza: los correos que no cumplen pueden ir a spam o ser rechazados. - **Yahoo** pide lo mismo desde febrero de 2024: a todos, SPF o DKIM y menos de un 0,3 % de spam; a los envíos masivos, SPF y DKIM, un DMARC válido de al menos `p=none` y alineación. - **Outlook.com** (las cuentas personales de outlook.com, hotmail.com y live.com) exige desde el **5 de mayo de 2025** SPF, DKIM y DMARC a quien envía más de 5.000 correos al día, y según su anuncio **rechaza** los que no cumplen. Aunque tu empresa no envíe 5.000 correos al día, tus clientes usan Gmail, Hotmail o Yahoo, y estos proveedores miran la autenticación de todos. Un dominio sin SPF ni DKIM tiene muchas más papeletas de acabar en spam. Y hay una segunda razón para tenerlo bien: sin DMARC en una política que proteja, **cualquiera puede enviar correos haciéndose pasar por tu empresa**. Es la base de muchos fraudes, como el de la factura con una cuenta bancaria cambiada. INCIBE recomienda, ante cualquier cambio de cuenta, comprobarlo «mediante un canal de comunicación ajeno al correo electrónico». ## Los errores más habituales - **No tener DMARC, o tenerlo en `p=none` para siempre.** `p=none` sirve para empezar y recibir informes, pero no protege: con ella no pides al destinatario que haga nada con los correos que fallan. Según el monitor de la Comisión Europea, en el tercer trimestre de 2026 el **95 %** de los dominios españoles analizados tenía DMARC, pero solo el **36 %** con una política estricta (la media de la UE es del 50 %). Ojo, son unos 5.500 dominios europeos con mucho tráfico de correo, no una muestra de pymes. - **Pasarse del límite de 10 consultas de SPF.** Cada `include` (el de Microsoft 365, el de la herramienta de newsletters, el de la tienda…) cuenta, y el estándar fija un máximo de **10**. Si se supera, SPF da error («permerror») y deja de servir, aunque el registro parezca correcto. - **Olvidarse de alguien que envía en tu nombre.** La herramienta de newsletters, la tienda online, el programa de facturación o el CRM envían correos con tu dominio. Si no están en SPF ni firman con DKIM, sus correos fallan. - **Varios registros SPF.** Solo puede haber uno por dominio; si hay dos, el resultado es un error. - **Claves DKIM antiguas o cortas**, por debajo de los 1.024 bits que exige el RFC 8301. ## Cómo comprobar el tuyo Puedes revisarlo en nuestro [analizador de correo](https://lndigital.es/herramientas/analizador-correo/): escribes el dominio y en unos segundos ves si recibe bien, si tiene SPF, DKIM y DMARC, si te pasas del límite de 10 consultas de SPF y, si algo falla, los registros exactos para arreglarlo. ## Qué hacer, paso a paso Es el orden que marcan el propio estándar de DMARC (RFC 9989) y la guía de Google: 1. **Haz inventario de quién envía correo en tu nombre**: tu servidor de correo, la herramienta de newsletters, la tienda, la facturación… El RFC 9989 pide arreglar los envíos legítimos que no se autentican antes de endurecer DMARC. 2. **Configura SPF y DKIM** para todos ellos. Google recomienda hacerlo al menos 48 horas antes de publicar DMARC. 3. **Publica DMARC en `p=none` con informes** (la etiqueta `rua`, con la dirección que los recibirá). Es el modo de vigilancia: no cambia nada en la entrega, pero empiezas a saber quién envía con tu dominio. 4. **Lee los informes y corrige** lo que falle. El estándar explica que se empieza en `p=none` precisamente para asegurarse de que no se ha olvidado nada. 5. **Pasa a `p=quarantine` poco a poco** y comprueba que nada legítimo se queda por el camino. Algunas guías, como la de Google, lo hacen con la etiqueta `pct` (un porcentaje de los correos), que el nuevo estándar sustituye por el modo de prueba `t`. 6. **Llega a `p=reject`** cuando estés seguro de que todo tu correo se autentica. El RFC 9989 avisa de que pueden hacer falta meses de informes antes de dar este paso. Hay ajustes más avanzados, como **MTA-STS** (exigir que el correo te llegue cifrado, RFC 8461) y **TLS-RPT** (recibir avisos si el cifrado falla, RFC 8460). **BIMI**, que muestra tu logo junto a tus correos, no es un estándar del IETF: es un borrador que el propio IETF no respalda. Ninguno de los tres sustituye a SPF, DKIM y DMARC. ## Preguntas frecuentes ### ¿Necesito SPF, DKIM y DMARC si envío pocos correos? Sí. Gmail exige SPF o DKIM a todos los remitentes, sin mínimo de envíos, y DMARC es lo que impide que otros se hagan pasar por tu empresa, envíes mucho o poco. ### ¿Con `p=none` ya estoy protegido? No. Con `p=none` recibes informes, pero no pides a los proveedores que hagan nada con los correos que fallan: el estándar la define como «ninguna preferencia». Es el punto de partida, no el final. ### ¿Uso `~all` o `-all` en SPF? El estándar de SPF define `-all` como una negativa explícita y `~all` como un resultado intermedio que, por sí solo, no debería bastar para rechazar un correo. Para DMARC solo cuenta que SPF haya pasado, así que, con DMARC en una política estricta, lo que decide qué pasa con los correos que fallan es DMARC. ### ¿Esto lo tengo que configurar yo o mi proveedor de correo? Los registros se publican en el DNS de tu dominio, así que los pone quien gestiona tu dominio. Las claves de DKIM las genera tu proveedor de correo (Microsoft 365, Google Workspace o tu servidor), y cada herramienta que envía en tu nombre tiene que añadirse a SPF y firmar con DKIM. ### ¿Cuánto tarda en notarse? Los cambios en el DNS suelen notarse en minutos u horas, según cómo esté configurado. Llegar a `p=reject` con seguridad lleva semanas o meses, según cuántos servicios envíen correo en tu nombre. ## ¿Te lo dejamos en orden? En LN Digital revisamos el correo de tu dominio y configuramos SPF, DKIM y DMARC para que tus correos no acaben en spam y nadie pueda hacerse pasar por ti, dentro de nuestro [mantenimiento de servidores](https://lndigital.es/mantenimiento-de-servidores/). Si quieres saber cómo está ahora, pásalo por el [analizador de correo](https://lndigital.es/herramientas/analizador-correo/) o [escríbenos](https://lndigital.es/contacto/). ## Fuentes Consultadas el 20 de octubre de 2026. - Estándares del IETF: [RFC 7208 (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html), [RFC 6376 (DKIM)](https://www.rfc-editor.org/rfc/rfc6376.html), [RFC 8301 (algoritmos y tamaño de clave de DKIM)](https://www.rfc-editor.org/rfc/rfc8301.html), [RFC 9989 (DMARC)](https://www.rfc-editor.org/rfc/rfc9989.html), que deja obsoleto el [RFC 7489](https://www.rfc-editor.org/rfc/rfc7489.html), [RFC 9990 (informes agregados de DMARC)](https://www.rfc-editor.org/info/rfc9990), [RFC 8461 (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html), [RFC 8460 (TLS-RPT)](https://www.rfc-editor.org/rfc/rfc8460.html) y el [borrador de BIMI](https://datatracker.ietf.org/doc/draft-brand-indicators-for-message-identification/). - Google: [requisitos para remitentes](https://support.google.com/a/answer/81126?hl=es), [preguntas frecuentes y calendario](https://support.google.com/a/answer/14229414?hl=es) y [despliegue recomendado de DMARC](https://knowledge.workspace.google.com/admin/security/recommended-dmarc-rollout?hl=es). - [Yahoo: buenas prácticas para remitentes](https://senders.yahooinc.com/best-practices/). - [Microsoft: nuevos requisitos de Outlook.com para remitentes de grandes volúmenes](https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/strengthening-email-ecosystem-outlook%E2%80%99s-new-requirements-for-high%E2%80%90volume-senders/4399730). - INCIBE: [el correo electrónico, la primera barrera a proteger](https://www.incibe.es/protege-tu-empresa/blog/el-correo-electronico-primera-barrera-proteger-evitar-el-fraude) y [fraude del email comprometido](https://www.incibe.es/empresas/te-ayudamos/fraude-email-comprometido). - Comisión Europea, [EU Internet Standards Deployment Monitoring: correo](https://ec.europa.eu/internet-standards/email.html) ([metodología](https://ec.europa.eu/internet-standards/methodology.html)), datos del tercer trimestre de 2026. Herramienta relacionada - [Analizador de correo](https://lndigital.es/herramientas/analizador-correo/) [¿Tus correos acaban en spam? Analiza el correo de tu dominio: si recibe bien y si alguien puede hacerse pasar por ti (SPF, DKIM y DMARC), y los registros exactos para arreglarlo.](https://lndigital.es/herramientas/analizador-correo/) [Analizar mi correo →](https://lndigital.es/herramientas/analizador-correo/) ## Compartir la entrada [](https://www.facebook.com/sharer.php?u=https://lndigital.es/spf-dkim-dmarc-correo-spam/) [](https://www.linkedin.com/shareArticle?mini=true\&url=https://lndigital.es/spf-dkim-dmarc-correo-spam/\&title=SPF%2C%20DKIM%20y%20DMARC%3A%20por%20qu%C3%A9%20tus%20correos%20acaban%20en%20spam\&summary=\&source=https://lndigital.es/spf-dkim-dmarc-correo-spam/) [](https://twitter.com/intent/tweet?text=%20https://lndigital.es/spf-dkim-dmarc-correo-spam/) [Entrada Anterior](https://lndigital.es/nas-nube-propia-empresas/) [Siguiente Entrada](https://lndigital.es/dkim-como-activarlo/) ## Otras entradas [![SPF: qué es y cómo configurarlo bien en Microsoft 365 y Google Workspace](https://lndigital.es/wp-content/uploads/2026/10/spf-como-configurarlo.jpg)](https://lndigital.es/spf-como-configurarlo/) ### [SPF: qué es y cómo configurarlo bien en Microsoft 365 y Google Workspace](https://lndigital.es/spf-como-configurarlo/) [Leer entrada](https://lndigital.es/spf-como-configurarlo/) [![DMARC: cómo pasar de p=none a p=reject sin perder correos](https://lndigital.es/wp-content/uploads/2026/10/dmarc-como-configurarlo.jpg)](https://lndigital.es/dmarc-como-configurarlo/) ### [DMARC: cómo pasar de p=none a p=reject sin perder correos](https://lndigital.es/dmarc-como-configurarlo/) [Leer entrada](https://lndigital.es/dmarc-como-configurarlo/) [![DKIM: cómo firmar el correo de tu empresa en Microsoft 365 y Google Workspace](https://lndigital.es/wp-content/uploads/2026/10/dkim-como-activarlo.jpg)](https://lndigital.es/dkim-como-activarlo/) ### [DKIM: cómo firmar el correo de tu empresa en Microsoft 365 y Google Workspace](https://lndigital.es/dkim-como-activarlo/) [Leer entrada](https://lndigital.es/dkim-como-activarlo/)