Autenticación de correo del dominio

Cómo funciona esta comprobación

Esta comprobación no toca tu web: consulta el DNS de tu dominio. Y lo hace subiendo por la cadena de dominios (si escaneas app.tudominio.com, mira también tudominio.com), porque el correo se configura en el dominio registrable. Busca cinco cosas. SPF: un registro TXT que empiece por v=spf1; si no hay en ningún nivel, severidad media; si termina en +all, alta; si hay más de uno, media. DMARC: un TXT en _dmarc. con v=DMARC1; ausente, media; presente con p=none, baja. BIMI: solo si ya tienes DMARC, y su ausencia es informativa. Si hay SPF o DMARC (señal de que el dominio usa correo), comprueba además los registros MX (ausentes, baja) y DKIM, probando catorce selectores habituales (google, default, selector1, selector2, k1, s1, dkim, mail, mandrill, zoho…); si ninguno responde, baja, con la advertencia de que puedes usar otro selector. Por último, MTA-STS en _mta-sts.; ausente, baja. Si alguna consulta DNS falla, no se inventa el hallazgo.

Por qué importa

Sin SPF ni DMARC, cualquiera puede enviar correos que dicen venir de soporte@tudominio.com y los servidores receptores no tienen forma de saber que son falsos. Es la base del phishing con tu marca: a tus clientes, a tus proveedores o a tu propio equipo. Además, desde 2024 Gmail y Yahoo exigen SPF, DKIM y DMARC a quien envía volumen; sin ellos tus correos legítimos van a spam o se rechazan. DKIM firma cada mensaje para que no se pueda alterar en tránsito. MTA-STS evita que un atacante en la red obligue a entregar tu correo sin cifrar. Y BIMI, cuando todo lo anterior está, pone tu logo junto a tus correos en Gmail y Apple Mail.

Cómo arreglarlo

SPF

v=spf1 include:_spf.google.com ~all

Un solo registro TXT en el dominio, con un include: por cada servicio que envíe correo en tu nombre (Google Workspace, Microsoft 365 con spf.protection.outlook.com, tu proveedor transaccional). Termina en ~all o -all, nunca +all. Si tienes dos registros, fusiónalos en uno. Máximo diez consultas DNS en total; si te pasas, el SPF deja de validar.

DKIM

Se activa en el proveedor de correo (Google Workspace, Microsoft 365, Resend, SendGrid…), que te da un registro TXT o CNAME para publicar en selector._domainkey.tudominio.com. Para saber qué selector usas, abre un correo enviado desde tu dominio, mira las cabeceras y busca DKIM-Signature: ... s=selector.

DMARC

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com

En _dmarc.tudominio.com. Empieza en p=none para recibir informes sin bloquear nada, revisa durante dos o tres semanas qué servicios envían en tu nombre, añádelos a SPF y DKIM, y sube a p=quarantine y después a p=reject.

MTA-STS y BIMI

MTA-STS son dos piezas: un TXT en _mta-sts.tudominio.com con v=STSv1; id=2026100901 y un fichero en https://mta-sts.tudominio.com/.well-known/mta-sts.txt con mode: enforce, tus servidores MX y un max_age. BIMI exige DMARC en quarantine o reject, un logo SVG cuadrado y un TXT en default._bimi; Gmail además pide un certificado de marca verificada (VMC), que es de pago.

Comprueba que está arreglado

dig +short TXT tudominio.com | grep spf1
dig +short TXT _dmarc.tudominio.com
dig +short MX tudominio.com
dig +short TXT google._domainkey.tudominio.com
dig +short TXT _mta-sts.tudominio.com

Sustituye google por tu selector. En Windows, nslookup -type=TXT _dmarc.tudominio.com hace lo mismo. Los cambios de DNS tardan de minutos a unas horas en verse.

Preguntas frecuentes

Mi dominio no envía correo. ¿Necesito todo esto?

Necesitas SPF y DMARC igualmente, pero en versión "nadie envía": v=spf1 -all y v=DMARC1; p=reject. Así nadie puede suplantarte. MX, DKIM y el resto no se te pedirán porque solo se comprueban cuando el dominio usa correo.

Tengo DKIM pero sale "sin DKIM en los selectores comunes".

Usas un selector que no está en la lista. El hallazgo lo dice y es de severidad baja precisamente por eso. Compruébalo con el comando de arriba y tu selector real, y márcalo como aceptado.

¿DMARC en p=none no sirve de nada?

Sirve para ver quién envía en tu nombre, que es el paso previo imprescindible. Pero no bloquea nada: un correo falso con DMARC en p=none llega igual. La protección empieza en quarantine. El resto de la salud del dominio (CAA, DNSSEC, caducidad) la mira salud del dominio.