Comprobar SPF, DKIM y DMARC
Introduce un nombre de dominio. Leemos sus tres registros de autenticación del correo, seguimos la cadena SPF hasta el final, y te decimos qué impide que tus correos lleguen.
Los tres registros, y lo que prueba cada uno
| Registro | Lo que dice | El error más habitual |
|---|---|---|
| SPF | qué servidores pueden enviar en nombre del dominio | más de diez consultas DNS, a fuerza de añadir servicios de envío |
| DKIM | una firma que prueba que el correo no se ha modificado | un servicio de envío añadido sin publicar su clave |
| DMARC | qué hacer con un correo que falla ambos, y a quién informar | p=none puesto hace años y nunca endurecido |
Por qué se ha vuelto obligatorio
Desde febrero de 2024, Gmail y Yahoo exigen SPF o DKIM, y DMARC, a todo remitente que envía en volumen; Microsoft se sumó en 2025. Sin ellos, tus correos se rechazan o van a spam, incluidas tus facturas y tus confirmaciones de pedido.
El límite de diez consultas
Cada include:, a, mx o redirect= de tu SPF exige una consulta DNS, y cada include suele llamar a otros. Por encima de diez, la norma dice que el SPF da error: para todos tus envíos, sin que nada se rompa a la vista. Es el fallo más frecuente, y el más invisible. Esta herramienta sigue la cadena hasta el final y cuenta.
DMARC, en orden
Empieza en p=none con una dirección rua para recibir los informes, corrige los servicios de envío que fallan, pasa a p=quarantine y luego a p=reject. Quedarse en p=none es observar sin proteger nunca.
Lo que esta herramienta no hace
- No envía ningún correo: lee el DNS. Para ver el resultado real de un envío, mira la cabecera Authentication-Results de un correo recibido.
- No puede probar que falta DKIM: solo encontrarlo con los selectores habituales.
- No comprueba BIMI ni MTA-STS, que vienen después de una configuración DMARC estricta.
Preguntas frecuentes
Mis correos llegan a spam aunque el SPF es válido. ¿Por qué?
Porque el SPF solo ya no basta: Gmail y Yahoo exigen también DKIM y DMARC, y la alineación entre el dominio del remitente y el que firma. Un servicio de envío (boletín, facturación) que firma con su propio dominio suele fallar la alineación.
¿Qué diferencia hay entre ~all y -all?
~all marca como sospechosos los correos que vienen de otro sitio, -all pide rechazarlos. ~all es el ajuste habitual: luego decide DMARC. -all es más estricto, y rompe los reenvíos de correo.
¿Hay que pasar DMARC a reject enseguida?
No. Pasa primero por p=none con informes (rua) durante unas semanas, corrige los servicios de envío que fallan, luego quarantine y luego reject. Pasar a reject demasiado pronto hace desaparecer correos legítimos.
Las otras herramientas
Comprobar un certificado SSL
Fecha de caducidad del certificado, emisor y nombres que cubre de verdad.
Comprobar las cabeceras de seguridad
HSTS, CSP, X-Frame-Options y las demás: una nota sobre 100, con el baremo y las cabeceras en bruto.
¿Se puede indexar mi página?
Noindex, robots.txt, canonical, código HTTP: lo que impide a Google y Bing indexar una página, buscador por buscador.
Tu web y tu dominio, vigilados
Expansel comprueba tu web y su certificado a intervalos regulares y te avisa antes de que caduque tu dominio: los tres fallos que también cortan el correo.