Siete errores de SPF, DKIM y DMARC que mandan tu correo a spam

«Mis correos llegan a spam» casi nunca es culpa del contenido. Casi siempre es un registro DNS mal puesto, que nadie mira porque el correo «sale». Sale, sí. Lo que no hace es llegar a la bandeja de entrada.

Y desde 2024 esto pesa más. Gmail y Yahoo exigen autenticación a quien envía mucho correo desde febrero de 2024. Outlook hace lo mismo desde el 5 de mayo de 2025. Y Gmail empezó a endurecer el rechazo en noviembre de 2025. Ya no basta con que el correo salga.

Tres registros, en una frase cada uno

• SPF dice qué servidores pueden enviar correo en nombre de tu dominio.
• DKIM firma cada mensaje con una clave cuya mitad pública está en tu DNS. Prueba que nadie cambió el mensaje por el camino.
• DMARC dice qué hacer si SPF y DKIM fallan, y exige que al menos uno coincida con el dominio que ve el destinatario en el «De:».

1. Dos registros SPF

Pasa cuando se contrata un servicio nuevo y su guía dice «añade este registro SPF». Alguien lo añade, sin ver que ya había otro. Un dominio solo puede tener un registro que empiece por v=spf1. Con dos, el resultado es un error permanente y el SPF deja de contar.

Arreglo: un solo registro que junte todo. Por ejemplo:

v=spf1 include:_spf.google.com include:servicio-de-envios.com ~all

2. Más de diez consultas

Cada include:, a, mx o redirect obliga al servidor que recibe el correo a hacer una consulta DNS. Y cada include puede tener sus propios include dentro. La norma pone un límite de diez. Si te pasas, el SPF da error permanente, aunque el registro parezca perfecto a simple vista.

Arreglo: quita los servicios que ya no usas, que suele ser la mayoría del problema. Si aun así no cabe, envía el correo masivo desde un subdominio con su propio SPF.

3. Terminar en +all

El final del registro dice qué hacer con los servidores que no están en la lista. ~all los marca como sospechosos, -all los rechaza. +all los acepta a todos: cualquiera en internet puede enviar en tu nombre y pasar el SPF. Suele quedar así «para que funcione» durante una prueba, y se queda para siempre.

Arreglo: ~all mientras compruebas que no falta nadie, -all cuando estés seguro.

4. Olvidarse de quien envía de verdad

El correo de la oficina sale de Google Workspace o de Microsoft 365, y ese está en el SPF. Pero también envían correo con tu dominio el formulario de la web (desde el servidor del hosting), el sistema de facturación electrónica, el CRM y la herramienta de boletines. Si uno de esos no está en el SPF ni firma con DKIM, sus correos fallan.

Arreglo: haz la lista de todo lo que envía con tu dominio. Los informes de DMARC (punto 7) te dicen exactamente quién envía y desde dónde.

5. DKIM sin activar

Google Workspace y Microsoft 365 firman tus correos aunque no hayas configurado nada, pero con su dominio y no con el tuyo. Esa firma es válida, pero no coincide con tu «De:», así que no cuenta para DMARC. Hay que activar DKIM en su panel y publicar la clave en tu DNS.

Arreglo: en Google Workspace, en la sección de autenticación del correo de la consola de administración; en Microsoft 365, en el portal de Defender. Los dos te dan el registro que hay que publicar.

6. Claves DKIM de 1024 bits

Funcionan, pero ya son cortas. Google recomienda claves de 2048 bits si tu proveedor de DNS las admite. Y si la clave lleva años sin cambiar, es buen momento para rotarla.

Arreglo: genera una clave nueva de 2048 bits con un selector nuevo, publícala, cambia la firma a ella y retira la vieja unos días después.

7. DMARC ausente, o en p=none para siempre

Sin DMARC, a los grandes proveedores les falta el último dato y tu dominio queda fácil de suplantar. Con p=none cumples el mínimo que exigen Gmail y Outlook, pero no proteges nada: es una política de «solo mirar». El problema es quedarse ahí sin mirar.

El registro va en _dmarc.tudominio.com y se ve así:

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com

La parte rua es la importante: es donde los proveedores te mandan cada día un informe de quién envía con tu dominio y si pasa o no.

Arreglo: empieza en p=none con rua, lee los informes un par de semanas, corrige lo que falle (puntos 4 y 5) y sube a p=quarantine y después a p=reject.

Lo que exigen hoy Gmail y Outlook

A quien envía unos 5.000 correos al día o más a sus usuarios:

• SPF y DKIM configurados.
• DMARC publicado, como mínimo con p=none.
• El dominio del «De:» alineado con el de SPF o el de DKIM.
• Para el correo comercial, darse de baja con un clic.
• Gmail, además, pide mantener las quejas por spam por debajo del 0,3 %.

Aunque envíes mucho menos, Gmail exige a todo el mundo al menos SPF o DKIM. Y lo que es obligatorio para los grandes es lo que acaba separando el correo que llega del que no.

Fuentes

• SPF, norma RFC 7208 (un solo registro y el límite de diez consultas): rfc-editor.org
• DMARC, norma RFC 7489: rfc-editor.org
• Gmail, guía para remitentes: support.google.com y preguntas frecuentes
• Google Workspace, configurar DKIM: support.google.com
• Microsoft, requisitos de Outlook para remitentes de gran volumen: techcommunity.microsoft.com