Ir al contenido

Verificador de email

SPF, DKIM, DMARC y MX de un dominio, leídos y explicados, incluido el presupuesto de consultas SPF que casi ninguna herramienta cuenta.

Los selectores no se pueden descubrir. Déjalo vacío para probar los más comunes, o indica los tuyos para salir de dudas.

Sobre SPF, DKIM y DMARC

Tres registros deciden si se cree en tu correo. SPF lista quién puede enviar por tu dominio, DKIM firma cada mensaje con una clave publicada en el DNS, y DMARC dice a los receptores qué hacer cuando ninguno de los dos coincide. Cuando falta o está roto uno de ellos, tu correo no rebota ruidosamente: acaba en spam, en silencio, y normalmente con los destinatarios que más te importan.

Lo que comprueba el servidor de destinoSPF y DKIM responden cada uno por un dominio. DMARC comprueba que ese dominio sea el de la dirección From que ve el destinatario.
  1. El mensaje sale de tu servidor
    Servidor de envíomail.example.com 198.51.100.25
    Firma DKIM: dominio y selectord=example.com; s=selector1
    Remitente del sobre (MAIL FROM), invisible para el lectorbounce@example.com
    Dirección From, la que ve el lectornews@example.com
  2. El servidor de destino comprueba
    1. SPF

      ¿Figura la dirección de envío en el registro SPF del dominio del sobre?

      TXT example.comv=spf1 ip4:198.51.100.25 -all
    2. DKIM

      ¿Se verifica la firma con la clave pública que el dominio firmante (d=) publica bajo su selector?

      TXT selector1._domainkey.example.comv=DKIM1; p=MIIBIjANBg…
    3. DMARC

      ¿Ha pasado SPF o DKIM para un dominio alineado con el From? Basta con un resultado alineado; si no lo hay, se aplica la política del dominio.

      TXT _dmarc.example.comv=DMARC1; p=quarantine

      Alineado significa el mismo dominio que el From o, en el modo relajado (el predeterminado), el mismo dominio principal: mail.example.com está alineado con example.com. Un resultado positivo para otro dominio, por ejemplo el de un proveedor, no cuenta.

  3. Después
    • DMARC pasaEl mensaje sigue por los filtros antispam habituales y llega a la bandeja de entrada.
    • Falla, p=noneSe entrega como si no hubiera DMARC: el fallo solo aparece en los informes, si los pides (rua).
    • Falla, p=quarantineVa a la carpeta de spam.
    • Falla, p=rejectSe rechaza en la entrega: el remitente recibe un rebote.
la comprobación de correo de github.com: MX, SPF con su límite de 10 consultas DNS, claves DKIM y política DMARC, y lo que requiere atención.

La cifra que hay que mirar primero es el presupuesto de consultas SPF. SPF permite diez términos que consultan DNS, y se cuentan a través de cada include: un registro de dos palabras puede consumir una docena una vez seguidos los includes de tu proveedor. Por encima del límite, toda la evaluación es un error permanente y los receptores actúan como si no hubieras publicado nada. Es el fallo que aparece sin que nadie haya cambiado nada por tu parte, el día que un proveedor añade un include al suyo. Lo segundo que hay que leer es la política DMARC: p=none observa y no protege nada, y ahí es donde la mayoría de dominios se detienen. En cuanto a DKIM, un selector no se adivina: una herramienta que no encuentra clave solo prueba que se equivocó al adivinar. Indica el tuyo para obtener una respuesta real.

Preguntas frecuentes

Mi registro SPF es corto. ¿Cómo puede superar diez consultas?
Porque el límite cuenta a través de los includes. Tu registro puede tener tres includes, pero cada uno es otro registro con sus propios includes. Los grandes proveedores cuestan habitualmente de cuatro a seis consultas cada uno. El desglose de arriba muestra lo que cuesta cada uno realmente.
¿Basta con p=none?
Es un primer paso legítimo: recoge informes sin afectar a la entrega. Pero no protege nada. Cualquiera puede enviar correo haciéndose pasar por tu dominio y los receptores harán exactamente lo mismo que antes. p=none está pensado para ser temporal.
La herramienta no encontró clave DKIM. ¿Tengo un problema?
Probablemente no. Los selectores DKIM son nombres arbitrarios que no se pueden listar, así que probamos los comunes y lo decimos honestamente cuando ninguno acierta. Introduce el tuyo, que tu proveedor de correo te muestra, y tendrás una respuesta real.
¿Por qué se señala una clave de 1024 bits?
La RFC 8301 elevó la recomendación a 2048 bits en 2018, y varios grandes receptores ponderan ahora menos una firma de 1024 bits. Sigue funcionando, por eso es un aviso y no un error, pero conviene rotarla en la próxima ocasión.

Guías relacionadas

Herramientas relacionadas

Para profundizar

Glosario de redes: DNS inverso, TTL

Ejecutar un traceroute visual hacia este host