Cómo configurar SPF, DKIM y DMARC para Gmail, Yahoo y Outlook en 5 pasos

SPF, DKIM y DMARC son tres registros que se publican en el DNS de tu dominio para demostrar que un email enviado en su nombre es tuyo de verdad. SPF dice qué servidores pueden enviar con tu dominio, DKIM firma cada mensaje y DMARC indica qué hacer con los que no superan esas comprobaciones. Gmail, Yahoo y Outlook.com los exigen a quien envía mucho volumen: sin ellos, tus campañas acaban en spam o directamente rechazadas.

En esta guía tienes qué es cada uno, qué pide hoy cada proveedor, la configuración en 5 pasos (con DMARC explicado paso a paso) y cómo autenticar tu dominio de envío en NewsletterSoft.

Qué son SPF, DKIM y DMARC

Los tres son registros de tipo TXT en el DNS de tu dominio. Cada uno hace una comprobación distinta y se complementan:

• SPF (Sender Policy Framework): la lista de servidores autorizados a enviar emails con tu dominio. El servidor que recibe el mensaje mira desde qué IP llega y si esa IP está en tu lista.
• DKIM (DomainKeys Identified Mail): una firma digital. Tu servidor de envío firma cada email con una clave privada y publicas la clave pública en el DNS. Quien lo recibe comprueba la firma y sabe que el mensaje no se ha modificado por el camino.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): la política. Le dice al receptor qué hacer si un email con tu dominio en el remitente no supera SPF ni DKIM (nada, enviarlo a spam o rechazarlo) y adónde mandarte informes de lo que pasa con tu dominio.

Desliza la tabla para ver todas las columnas →

Qué es la alineación y por qué decide DMARC

Que SPF o DKIM pasen no basta. DMARC exige además que el dominio que se ha comprobado coincida con el que ve el destinatario en el campo «De» (From). A eso se le llama alineación:

• SPF está alineado si el dominio del remitente técnico (el Return-Path) es el mismo que el del From, o uno de sus subdominios.
• DKIM está alineado si el dominio de la firma (la etiqueta d=) coincide con el del From.

Es el fallo más habitual cuando se envía con una plataforma de marketing: el email pasa SPF y DKIM, pero con el dominio de la plataforma, no con el tuyo, y DMARC falla. Por eso las plataformas te piden que publiques en tu DNS registros para tu propio dominio.

Requisitos de Gmail, Yahoo y Outlook para envíos masivos

Gmail y Yahoo exigen autenticación a los remitentes masivos desde febrero de 2024, y Outlook.com, desde mayo de 2025. Esto es lo que piden hoy, según sus páginas oficiales para remitentes (consultadas el 28-10-2026): las directrices para remitentes de Gmail y sus preguntas frecuentes, los requisitos de Yahoo y el anuncio de Outlook para remitentes de gran volumen.

Desliza la tabla para ver todas las columnas →

Lo que piden a todos los remitentes, aunque envíes poco

Aunque no llegues a 5.000 emails al día, Gmail pide a cualquier remitente SPF o DKIM, DNS inverso válido, conexión TLS, una tasa de spam por debajo del 0,3 % y no suplantar a nadie en el remitente. Yahoo pide lo mismo en lo básico: SPF o DKIM, la tasa de spam por debajo del 0,3 % y DNS directo e inverso válidos. Y Gmail avisa de algo que conviene saber: si un día superas los 5.000 mensajes, pasas a ser remitente masivo para siempre, aunque después envíes menos.

Los requisitos de Gmail son para lo que llega a cuentas personales de Gmail, no a cuentas de Google Workspace. Pero si tú envías desde Google Workspace a cuentas de Gmail, sí te afectan.

La baja en un clic

La baja en un clic no es el enlace del pie: son dos cabeceras técnicas del mensaje. List-Unsubscribe lleva la dirección de baja y List-Unsubscribe-Post: List-Unsubscribe=One-Click permite que Gmail o Yahoo muestren su propio botón «Cancelar suscripción» junto al remitente. La pone tu plataforma de envío, no tu DNS. Gmail solo la exige en los emails de marketing y de suscripción, no en los transaccionales, y te pide además un enlace de baja visible en el cuerpo. En NewsletterSoft, las dos cabeceras se añaden solas a tus campañas: no tienes que configurar nada.

Antes de empezar: qué necesitas

• Acceso al DNS de tu dominio. Está en el panel de tu registrador o de tu proveedor de DNS (donde compraste el dominio o donde lo gestionas). Si lo lleva tu equipo de sistemas o tu agencia, habla con ellos antes de tocar nada.
• Los datos de cada servicio que envía con tu dominio: el include de SPF y el registro DKIM que te da cada uno.
• Un buzón para los informes DMARC. Google recomienda un grupo o un buzón dedicado, no tu dirección personal, porque llegan muchos.
• Decidir desde qué dominio envías el marketing. Muchas empresas usan un subdominio, como news.tutienda.com, para separar las campañas del correo del día a día.

Paso 1. Haz inventario de quién envía con tu dominio

Antes de escribir un solo registro, apunta todo lo que manda emails con tu dominio en el remitente:

• tu correo corporativo (Google Workspace, Microsoft 365 o el de tu hosting);
• la plataforma de email marketing y de automatizaciones;
• la tienda online, el CRM, la herramienta de facturación o de soporte;
• el formulario de contacto de la web;
• los emails transaccionales de tu aplicación.

Cada uno tendrá que estar en tu SPF o firmar con DKIM en tu nombre. Si te olvidas de alguno, sus emails fallarán en cuanto actives DMARC en serio.

Paso 2. Configura el registro SPF

El registro SPF empieza siempre por v=spf1, sigue con los servidores autorizados y termina con una regla para todo lo demás:

v=spf1 include:_spf.google.com include:spf.tuplataforma.com ~all

Los mecanismos más usados son estos:

• include: autoriza los servidores de otro servicio (tu correo, tu plataforma de envío…). Es el que más se usa.
• ip4: e ip6: autorizan una IP o un rango concretos.
• a y mx autorizan las IP de los registros A o MX de tu dominio.

Y la terminación decide qué pasa con lo que no está en la lista:

Desliza la tabla para ver todas las columnas →

Dos reglas que rompen más SPF de lo que parece, las dos del estándar (RFC 7208):

1. Un solo registro SPF por dominio. Si hay dos, el resultado es un error permanente y SPF no vale. Si ya tienes uno, añade el include nuevo al que ya existe.
2. Como máximo 10 consultas DNS. Cada include, a, mx, ptr, exists o redirect cuenta, y los include que hay dentro de otros también. Si te pasas, SPF falla. Las ip4 e ip6 no cuentan.

SPF para Gmail y Google Workspace

Si tu correo corporativo es Google Workspace y no envías con nada más, Google indica este registro en su guía para configurar SPF (consultada el 28-10-2026):

v=spf1 include:_spf.google.com ~all

Si además envías con otros servicios, añade sus include en ese mismo registro. Según Google, SPF puede tardar hasta 48 horas en empezar a funcionar.

Paso 3. Activa la firma DKIM

DKIM se configura en dos sitios: el servicio que envía genera un par de claves y firma con la privada, y tú publicas la pública en tu DNS. Cada servicio tiene su propio registro, con un nombre distinto (el selector), así que puedes tener varios a la vez sin problema.

Desliza la tabla para ver todas las columnas →

Usa claves de 2048 bits. Gmail exige 1024 como mínimo para enviar a cuentas personales y recomienda 2048. Si tu proveedor de DNS no acepta textos tan largos en un solo campo, divide la clave en varias cadenas entre comillas, una detrás de otra: un registro TXT admite como mucho 255 caracteres por cadena. Si copias la clave a medias o con espacios de más, la firma no se valida.

Cómo configurar DKIM en Gmail (Google Workspace)

Es la duda más buscada de esta guía. Según la ayuda de Google Workspace (consultada el 28-10-2026):

1. En la Consola del administrador, ve a Apps → Google Workspace → Gmail y pulsa Autenticar correo electrónico.
2. Elige el dominio y pulsa Generar registro nuevo.
3. Elige una clave de 2048 bits (o de 1024 si tu proveedor de DNS no admite la larga) y deja el selector google, salvo que ya lo estés usando.
4. Copia el nombre (google._domainkey) y el valor, y créalo como registro TXT en tu DNS.
5. Cuando el registro esté publicado, vuelve a la consola y pulsa Iniciar la autenticación. Puede tardar hasta 48 horas en funcionar.

Si acabas de activar Gmail en tu organización, Google te pide esperar entre 24 y 72 horas antes de generar la clave.

Paso 4. Publica DMARC paso a paso

DMARC es el registro que más miedo da, porque una política mal puesta puede hacer que se rechacen emails legítimos. Por eso se activa por fases.

4.1. Empieza en modo observación

Espera a que SPF y DKIM lleven al menos 48 horas funcionando, como recomienda Google en su guía de DMARC (consultada el 28-10-2026). Después crea un registro TXT con el nombre _dmarc en tu dominio:

v=DMARC1; p=none; rua=mailto:dmarc@tutienda.com

Con p=none no cambia nada en la entrega: los proveedores solo te mandan informes. Ya cumples el mínimo que piden Gmail, Yahoo y Outlook, y empiezas a ver quién envía emails con tu dominio. Publica un solo registro DMARC: si hay varios en el mismo nombre, se descartan todos.

4.2. Lee los informes agregados

Los informes que llegan a la dirección de rua son ficheros XML, normalmente uno al día por proveedor, con cuántos emails se han recibido con tu dominio, desde qué IP y si han pasado SPF, DKIM y DMARC. Leídos a mano son poco prácticos: un analizador de informes DMARC los convierte en tablas.

Lo que buscas es esto:

• Fuentes legítimas que fallan: tu CRM, tu tienda o una herramienta que olvidaste en el paso 1.
• Fuentes que pasan SPF o DKIM, pero sin alinear: firman con su dominio, no con el tuyo.
• Fuentes que no reconoces: pueden ser intentos de suplantar tu dominio. Si te preocupa el phishing con tu marca, aquí tienes cómo detectar correos electrónicos falsos.

La etiqueta ruf pide informes de fallos con más detalle, pero muchos proveedores no los envían: Gmail, por ejemplo, no los admite.

4.3. Corrige las fuentes que fallan

Para cada fuente legítima que falla, añade su include a tu SPF o activa su DKIM con tu dominio. Repite hasta que los informes salgan limpios durante varias semanas seguidas, con todos tus envíos reales alineados.

4.4. Sube a cuarentena y después a rechazo

Cuando los informes estén limpios, endurece la política:

1. p=quarantine: lo que falla va a la carpeta de spam.
2. p=reject: lo que falla se rechaza. Es la protección completa contra la suplantación de tu dominio.

v=DMARC1; p=reject; rua=mailto:dmarc@tutienda.com

Para hacer el cambio de forma gradual se usaba la etiqueta pct (aplicar la política a un porcentaje del correo), y Google la sigue documentando. Pero la versión nueva del estándar, el RFC 9989 de mayo de 2026, la retira porque los receptores la aplicaban de forma desigual. En su lugar propone t=y, un modo de prueba que aplica la política un nivel por debajo. Lo práctico: no te fíes de porcentajes intermedios y sube de fase cuando los informes te den seguridad.

Llegar a cuarentena o rechazo tiene premio: es el requisito para mostrar tu logo en la bandeja de entrada con BIMI.

Las etiquetas de DMARC

Desliza la tabla para ver todas las columnas →

Paso 5. Comprueba que todo funciona

Cómo validar tus registros SPF, DKIM y DMARC

• Desde tu ordenador: nslookup -type=txt _dmarc.tutienda.com en Windows, o dig TXT _dmarc.tutienda.com +short en Mac y Linux. Cambia _dmarc por selector._domainkey para ver DKIM, o pon solo el dominio para ver SPF.
• Con una herramienta en línea: la comprobación de Google Admin Toolbox revisa los registros de tu dominio.
• Con un envío real: mándate un email a una cuenta de Gmail, ábrelo y, en el menú de los tres puntos, pulsa Mostrar original. Arriba verás SPF, DKIM y DMARC con su resultado: tienen que salir como PASS. Si pegas las cabeceras en el analizador de cabeceras de Google, te las explica.

Errores comunes y cómo solucionarlos

Desliza la tabla para ver todas las columnas →

Vigila después de configurarlo

Los registros se configuran una vez, pero se revisan siempre que añades una herramienta nueva. Para seguir el día a día, el panel de Estado de cumplimiento de Postmaster Tools te dice si cumples las directrices de Gmail. Si aun con todo en orden tus emails van a spam, el problema está en otra parte: aquí tienes cómo detectar y solucionar problemas de entregabilidad.

Cómo autenticar tu dominio de envío en NewsletterSoft

En NewsletterSoft, la plataforma de marketing automation multicanal (email, SMS y WhatsApp), tus emails salen siempre desde un dominio tuyo verificado. Se configura una vez, en Mensajes → Email, pestaña Configuración:

1. Añade tu dominio o un subdominio (por ejemplo, news.tutienda.com) y pulsa Añadir dominio. Los dominios de correo gratuito, como Gmail o Hotmail, no se pueden usar.
2. Abre el dominio: verás los registros DKIM, SPF y DMARC con su nombre, su valor y un botón Copiar. La clave DKIM y su selector los genera la plataforma.
3. Créalos en el panel de tu proveedor de DNS. Si ya tienes un registro SPF, no crees otro: añade el include que te da la aplicación al que ya tienes. Si tu SPF pasa de 10 consultas, la aplicación te avisa.
4. Pulsa Comprobar DNS. Un cambio de DNS puede tardar de unos minutos a unas horas en verse. Cuando todo está bien, el dominio pasa a Activo.
5. Úsalo: en el paso Detalles de cada campaña, el remitente tiene que ser un email de ese dominio.

En la aplicación, SPF y DKIM son obligatorios y DMARC figura como opcional: te propone un registro con p=none. Créalo igualmente si tu dominio aún no tiene DMARC, porque Gmail, Yahoo y Outlook lo exigen a los remitentes masivos. Si ya tienes uno, no publiques otro.

Dos cosas más que hace la plataforma para proteger tu dominio:

• Calentamiento. Un dominio nuevo empieza con un límite diario que sube solo: 50 emails el primer día y luego 100, 200, 400, 800, 1.600, 3.200, 6.400, 12.500, 25.000 y 50.000, y después sin límite. Si tu dominio ya tiene historial de envíos, puedes marcarlo como calentado.
• Vigilancia del DNS. Si un registro deja de resolver (por ejemplo, alguien lo borra), el dominio pasa a Requiere atención. Si sigue mal demasiado tiempo, se bloquea hasta que lo corrijas.

Y la lista de comprobación de cada campaña no te deja enviar sin un dominio verificado ni sin enlace de baja. Si quieres que revisemos tu configuración contigo, nuestro equipo de entregabilidad te ayuda: pide que te contactemos.

Fuentes oficiales (consultadas el 28-10-2026):

• Google: directrices para remitentes de correos, preguntas frecuentes sobre las directrices, SPF, DKIM y DMARC en Google Workspace.
• Yahoo: requisitos y buenas prácticas para remitentes.
• Microsoft: requisitos de Outlook para remitentes de gran volumen y cómo resolver el error 550 5.7.515.
• IETF: RFC 7208 (SPF) y RFC 9989 (DMARC).

Preguntas frecuentes

¿Cómo se configura DKIM en Gmail?

Si tu correo es Google Workspace, se genera en la Consola del administrador (Apps → Google Workspace → Gmail → Autenticar correo electrónico), se publica como registro TXT en google._domainkey de tu dominio y después se pulsa Iniciar la autenticación. Si envías campañas con otra plataforma, esa plataforma te da su propio registro DKIM, con otro selector, y conviven sin problema.

¿Hace falta tener SPF y DKIM, o basta con uno?

Para pasar DMARC basta con uno de los dos, alineado con tu dominio. Pero Gmail, Yahoo y Outlook piden los dos a los remitentes masivos, y tener ambos te protege si uno falla, por ejemplo cuando un email se reenvía y SPF deja de cuadrar.

¿Es suficiente DMARC con p=none?

Para cumplir los requisitos de Gmail, Yahoo y Outlook, sí. Para proteger tu dominio de quien lo suplante, no: con p=none los emails falsos se siguen entregando. Tampoco sirve para BIMI, que exige cuarentena o rechazo.

¿Cuánto tardan en funcionar los cambios de DNS?

Suelen verse en minutos o pocas horas, pero Google avisa de que SPF y DKIM pueden tardar hasta 48 horas en funcionar del todo. Por eso conviene esperar ese tiempo antes de publicar DMARC y antes de dar por buena una comprobación que falla.

¿Tengo que cumplir los requisitos si envío menos de 5.000 emails al día?

Los básicos, sí: Gmail y Yahoo piden a todos los remitentes SPF o DKIM y una tasa de spam por debajo del 0,3 %. Y te conviene cumplirlo todo igualmente: en Gmail, si un solo día pasas de 5.000 mensajes, eres remitente masivo para siempre.