SPF, DKIM y DMARC: implementación práctica de autenticación de correo

SPF autoriza la infraestructura de envío, DKIM agrega una firma verificable y DMARC exige que el dominio visible en De se alinee con una identidad SPF o DKIM válida. Implementa los tres: inventaría cada servicio emisor, publica un solo SPF, activa DKIM de 2048 bits cuando sea compatible, inicia DMARC con informes y avanza hacia quarantine o reject solo cuando el tráfico legítimo esté alineado.

Qué hace cada control

Paso 1: inventaría cada remitente

Lista plataformas de correo, soporte, facturación, marketing, formularios, monitoreo y cualquier servidor que envíe con tu dominio. Anota el remitente de sobre, dominio firmante DKIM y responsable. Un remitente legítimo desconocido es la causa habitual de quedarse en DMARC p=none o rechazar correo propio.

Paso 2: publica un SPF y respeta el límite de consultas

Un nombre no debe publicar varios registros SPF. Integra los remitentes autorizados en un solo TXT que inicie con v=spf1. RFC 7208 limita a diez los mecanismos y modificadores que generan consultas DNS durante la evaluación; excederlo produce permerror. Los include pueden expandirse, así que cuenta toda la cadena y no solo los términos visibles.

Paso 3: activa DKIM con selectores planificados

Un selector DKIM permite publicar varias claves públicas, como selector1._domainkey.ejemplo.hn. Da a cada plataforma su propio selector para rotar claves de forma independiente. Gmail exige al menos 1024 bits para mensajes a cuentas personales y recomienda 2048 bits cuando el proveedor lo admite; prefiere 2048 salvo limitaciones de DNS o plataforma.

Paso 4: entiende la alineación DMARC

Paso 5: avanza de monitoreo a aplicación

1. Empieza con p=none: Publica rua hacia una dirección o servicio capaz de procesar informes XML agregados. Observa cada fuente legítima y su alineación.
2. Corrige antes de aplicar: Resuelve DKIM ausente, autorización SPF, reenvíos y política de subdominios. No asumas que una fuente desconocida es maliciosa.
3. Prueba quarantine: Aplica quarantine a un porcentaje controlado si tu ecosistema admite un despliegue gradual y observa soporte e informes.
4. Llega a p=reject: Rechaza solo cuando los remitentes necesarios estén alineados y los responsables acepten la política. Continúa monitoreando.

La dirección rua es información operativa, no decoración

La etiqueta rua solicita informes DMARC agregados. Estos resumen autenticación y alineación por fuente, ayudando a encontrar servicios olvidados y abuso. Usa un buzón protegido o plataforma de informes porque el volumen puede ser alto y el XML requiere procesamiento; autoriza destinos externos cuando la especificación DMARC lo exija.

Los dominios que nunca envían correo necesitan una política explícita

Para un dominio que no debe enviar ni recibir correo, publica Null MX con MX 0 . para indicar que no acepta correo, una política SPF como v=spf1 -all y DMARC reject después de confirmar que no existen remitentes legítimos. Aplica una política deliberada similar a subdominios sin uso para evitar suplantación.

Verifica DNS y un mensaje real

1. SPF: Ejecuta dig TXT ejemplo.hn y confirma que exista una sola política v=spf1 con todos los remitentes.
2. DKIM: Ejecuta dig TXT selector1._domainkey.ejemplo.hn y compara la clave con el servicio emisor.
3. DMARC: Ejecuta dig TXT _dmarc.ejemplo.hn y verifica p, rua, modo de alineación y política de subdominios.
4. Resultado del mensaje: Envía un mensaje controlado e inspecciona Authentication-Results para spf=pass, dkim=pass y dmarc=pass, junto con los dominios alineados.

Expectativas actuales de los proveedores de buzones

Google y Yahoo exigen autenticación más fuerte a remitentes masivos, incluyendo SPF, DKIM y DMARC, correo alineado, bajas quejas y desuscripción sencilla para mensajes de suscripción aplicables. Los requisitos cambian, así que revisa las guías oficiales antes de una campaña. La autenticación mejora la identidad, pero el consentimiento, calidad de lista, reputación, TLS y formato correcto siguen siendo esenciales.

Usa un dominio de mercado sin fragmentar el control del correo

Un dominio de país puede hacer que la marca y el remitente local sean más reconocibles, pero cada dominio emisor necesita su propio inventario y autenticación. Decide si el ccTLD enviará correo, redirigirá al sitio global o será defensivo. Luego confirma elegibilidad, presencia local y renovación antes de configurar SPF, DKIM y DMARC.