SPF, DKIM y DMARC

Los tres protocolos de autenticación de email (SPF, DKIM y DMARC) le dicen a los servidores receptores que tus correos son legítimos. Sin ellos, Gmail, Outlook y Yahoo pueden enviarlos a spam o rechazarlos directamente.

Consejo

Configurar los tres records puede mejorar significativamente tu tasa de entrega. DMARC con p=quarantine o p=reject también protege tu dominio de ser suplantado por terceros.

---

SPF — quién puede enviar en tu nombre

SPF (Sender Policy Framework) lista los servidores autorizados a enviar correo desde tu dominio. Los servidores receptores verifican que el IP del remitente esté en esa lista.

Record a publicar

Agrega (o modifica) el TXT record en la raíz de tu dominio:

_Nombre_: tuempresa.com  (o @)
_Tipo_:   TXT
_Valor_:  v=spf1 include:mailerdash.com ~all

Si ya tienes un SPF existente (por ejemplo de Google Workspace o otro proveedor), no crees un segundo TXT — agrega el include al registro existente:

v=spf1 include:_spf.google.com include:mailerdash.com ~all

Precaución

Solo puede existir un record SPF por dominio. Tener dos TXT con v=spf1 causa fallos de validación en algunos servidores receptores.

---

DKIM — firma criptográfica del contenido

DKIM (DomainKeys Identified Mail) firma cada correo con una clave privada. El servidor receptor verifica la firma usando la clave pública publicada en tu DNS.

Delegación por CNAME (un solo paso, para siempre)

MailerDash usa CNAME delegation: tú publicas un CNAME una sola vez y la plataforma rota la llave interna sin que tengas que tocar tu DNS nunca más.

_Nombre_:  <selector>._domainkey.tuempresa.com
_Tipo_:    CNAME
_Valor_:   <el valor CNAME exacto que te da el dashboard>

Cuando verificas tu dominio, el dashboard te indica el selector exacto y el valor del CNAME. Publica ese record una vez y listo — las rotaciones de clave son transparentes para ti.

Consejo

El CNAME de DKIM es permanente. No lo elimines aunque rotes tu API key o cambies de plan — mientras tu dominio esté verificado en la plataforma, el CNAME debe estar presente.

---

DMARC — política de alineación

DMARC (Domain-based Message Authentication, Reporting and Conformance) define qué debe hacer el servidor receptor cuando un correo falla SPF o DKIM, y te manda reportes de uso.

Record recomendado para empezar

_Nombre_:  _dmarc.tuempresa.com
_Tipo_:    TXT
_Valor_:   v=DMARC1; p=none; rua=mailto:dmarc-reports@tuempresa.com

Campo	Descripción
p=none	Monitoreo sin acción — los correos que fallen igual llegan. Ideal para empezar.
p=quarantine	Correos que fallen van a spam. Actívalo cuando tengas confianza en tu configuración.
p=reject	Correos que fallen se rechazan. Máxima protección, actívalo después de verificar reportes.
rua=mailto:...	Dirección donde recibirás reportes XML diarios de los servidores receptores.

Progresión recomendada

1. Semana 1–2: publica p=none con rua para recibir reportes sin impacto.
2. Semana 3–4: revisa los reportes, confirma que tus correos legítimos pasan SPF y DKIM.
3. Mes 2: sube a p=quarantine.
4. Mes 3+: sube a p=reject si los reportes muestran alineación correcta.

---

Verificar tu configuración

Una vez publicados los records, puedes verificar con herramientas online:

• MXToolbox (mxtoolbox.com) — lookup SPF, DKIM y DMARC
• mail-tester.com — envía un correo de prueba y recibes un score de configuración
• Google Postmaster Tools — monitoreo de reputación de dominio para tráfico a Gmail

---

Resumen de records a publicar

Record	Nombre DNS	Tipo	Valor
SPF	tuempresa.com	TXT	v=spf1 include:mailerdash.com ~all
DKIM	<selector>._domainkey.tuempresa.com	CNAME	el destino exacto que te da el dashboard
DMARC	_dmarc.tuempresa.com	TXT	v=DMARC1; p=none; rua=mailto:...

El selector y el CNAME exactos los obtienes en el dashboard al verificar tu dominio, o consultando GET /v1/domains.

---

Siguiente paso: Verificar tu dominio para completar el alta en la plataforma.

Referencia API: Plataforma — Dominios