SPF, DKIM y DMARC explicados para tiendas en línea

Por qué los buzones revisan estos tres registros#

Cualquiera puede escribir cualquier dirección en el campo From de un correo. SPF, DKIM y DMARC son la forma en que el buzón que recibe el mensaje comprueba si un correo que dice venir de ninefold.example realmente lo envió Ninefold. Cada uno es un registro DNS que publicas en tu dominio, y cada uno responde una pregunta distinta.

Para una tienda, el efecto práctico es llegar a la bandeja de entrada. Google pide a todos los remitentes configurar SPF o DKIM, y quienes envían más de 5,000 mensajes al día a cuentas personales de Gmail deben tener SPF, DKIM y DMARC ^S4. Yahoo fija la misma base para sus remitentes masivos ^S5. Aunque envíes menos, el correo autenticado construye reputación del remitente sobre tu propio dominio, y un registro DMARC hace mucho más difícil que alguien envíe phishing con tu nombre.

Qué hace cada registro#

SPF: qué servidores pueden enviar por ti

SPF es un registro TXT que enumera los servidores autorizados a enviar correo para un dominio. El servidor receptor compara la dirección IP que se conectó con esa lista. SPF revisa el remitente del sobre (la dirección MAIL FROM que se usa durante la entrega y que recibe los rebotes), no la dirección From que ve tu cliente ^S1. Un registro típico para una tienda que usa un buzón de trabajo y un servicio de email marketing se ve así:

v=spf1 include:spf.mailbox.example include:spf.mailservice.example ~all

Cada include incorpora la lista de otro proveedor. El final indica qué hacer con todo lo demás: -all es un fallo y ~all es un fallo suave, que por sí solo no debería llevar al receptor a rechazar el mensaje ^S1.

DKIM: una firma en cada mensaje

DKIM agrega una firma criptográfica a los encabezados del mensaje. La firma nombra un dominio firmante (d=) y un selector (s=), y el receptor obtiene la clave pública de un registro DNS en selector._domainkey.dominio ^S2. Si los encabezados firmados o el cuerpo cambiaron en el camino, la comprobación falla. Con DKIM por sí solo, el dominio firmante no tiene que coincidir con la dirección From ^S2, y por eso existe DMARC.

DMARC: la política que los vincula a tu dirección visible

DMARC es un registro TXT en _dmarc.tudominio. Pide a los receptores confirmar que SPF o DKIM pasaron para un dominio que coincide con la dirección From visible, les indica cómo tratar el correo que falla (none, quarantine o reject) y dice adónde enviar los informes ^S3. Un primer registro puede ser tan corto como v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example.

Cómo funcionan juntos: la alineación#

SPF y DKIM pueden pasar para el dominio equivocado. Un servicio de marketing puede pasar SPF con su propio dominio de rebotes y firmar con DKIM a su nombre, mientras la línea From dice ninefold.example. Ninguno de esos resultados dice nada sobre Ninefold.

DMARC cierra ese hueco con la alineación. Un mensaje pasa DMARC cuando SPF pasa para un dominio alineado con el dominio From, o cuando DKIM pasa para un dominio alineado con él ^S3. La alineación es flexible por defecto, así que una firma DKIM de mail.ninefold.example se alinea con una dirección From en ninefold.example; la alineación estricta exige una coincidencia exacta ^S3. Gmail y Yahoo aplican la misma regla a los remitentes masivos: el dominio From debe alinearse con el dominio de SPF o con el de DKIM ^S4S5.

DKIM alineado pesa más que SPF alineado. Cuando alguien reenvía un mensaje, el servidor que reenvía se conecta desde su propia IP, así que SPF del dominio original suele fallar ^S1. Una firma DKIM sobrevive mientras el mensaje no se modifique.

Qué necesita publicar una tienda#

Antes de tocar el DNS, haz una lista de todos los servicios que envían correo con tu dominio en la dirección From. Para una marca de ropa pequeña como Ninefold, eso suele incluir un buzón de trabajo, los correos de pedido y envío de la plataforma de la tienda, un sistema de soporte y una herramienta de email marketing. Cada uno debe quedar cubierto.

1. Un solo registro SPF que incluya todos los servicios que envían como tu dominio.
2. DKIM activado en cada uno de esos servicios, con tu dominio como dominio firmante. Cada servicio te da su propio registro y selector, así que varios registros DKIM pueden convivir.
3. Un registro DMARC que empiece en p=none con una dirección para informes, para ver quién envía en tu nombre antes de aplicar cualquier política. La guía para configurar DMARC explica el paso a quarantine y reject.

La autenticación es solo una parte de lo que esperan los proveedores de correo. También revisan la baja con un clic y tu tasa de quejas por spam; la guía de conceptos básicos de entregabilidad cubre el resto.

Errores comunes#

• Dos registros SPF. Un dominio solo puede tener un registro que empiece con v=spf1; con dos, SPF devuelve un error permanente para todos los mensajes ^S1. Combínalos en uno.
• Demasiadas consultas. Cada include, a, mx, ptr, exists y redirect cuesta una consulta DNS, y SPF se detiene con error después de 10 ^S1. Quita los servicios que ya no usas en lugar de acumular includes.
• DKIM firmado con el dominio del proveedor. La firma pasa, pero no se alinea con tu dirección From. Configura DKIM con tu propio dominio en cada herramienta.
• Pasar directo a p=reject. Un remitente olvidado, como los correos de confirmación de pedido de tu plataforma, empieza a fallar sin aviso. Empieza en p=none y lee primero los informes.
• Sin dirección para informes. Un registro DMARC sin rua no te da datos para actuar. Yahoo recomienda especialmente una etiqueta rua que funcione durante la configuración ^S5.

Cómo revisar tus registros#

Puedes ver lo que está publicado con una consulta DNS, y lo que realmente vio el receptor leyendo un mensaje real.

• Desde una terminal: dig +short TXT ninefold.example muestra el registro SPF, dig +short TXT _dmarc.ninefold.example muestra DMARC y dig +short TXT selector._domainkey.ninefold.example muestra una clave DKIM cuando conoces el selector.
• Desde el navegador: cualquier herramienta de consulta DNS que lea registros TXT da las mismas respuestas.
• Desde un mensaje real: envía una prueba a una dirección de Gmail, ábrela, elige Más y luego Mostrar original ^S6. El encabezado muestra un resultado de SPF, DKIM y DMARC para ese mensaje y el dominio con el que pasó cada uno.

DMARC ya forma parte de los estándares del IETF: el RFC 9989, publicado en mayo de 2026, reemplaza al RFC 7489 ^S3S7. Los registros siguen empezando con v=DMARC1, así que un registro escrito con las reglas anteriores sigue funcionando ^S3.

Configurar la autenticación con Tellnod en Claude o ChatGPT#

Tellnod es un conector MCP para redactar, previsualizar y enviar email marketing desde Claude o ChatGPT. Desde el primer día puedes enviar desde una dirección con el nombre de tu tienda en el dominio compartido de Tellnod, como hello@yourshop.tellnodmail.com, sin cambios en el DNS, con un límite de 500 destinatarios por campaña y 1,000 emails al mes. Verificar tu propio dominio elimina esos límites y es la configuración que recomendamos.

Para verificar tu dominio, pídelo en el chat, por ejemplo: “Configura ninefold.example como mi dominio de envío.” Tellnod te da los registros SPF, DKIM y DMARC y los revisa por ti. Si otra persona administra tu DNS, pide: “Crea un enlace de configuración para nuestro desarrollador web.” Esa persona puede agregar los registros en un clic en los proveedores de DNS compatibles, o copiarlos, sin crear una cuenta, y te avisamos en el chat y por email cuando el dominio quede verificado. Los cambios de DNS suelen tardar unos minutos y pueden tardar hasta 48 horas.

La autenticación no cambia la forma de enviar: cada campaña muestra una vista previa en computadora y en celular, y nada sale hasta que presionas Confirm en la tarjeta de confirmación. Tú apruebas cada envío. Para empezar, conecta Tellnod a Claude o ChatGPT; la página de precios muestra el plan gratis y los planes de pago.

Preguntas frecuentes#