Respuesta breve
SPF enumera los servidores autorizados a enviar correo en nombre de su dominio, DKIM añade una firma que permite detectar alteraciones, y DMARC vincula ambos con la dirección de remitente visible e indica a los receptores qué hacer si fallan las comprobaciones. DMARC se supera cuando SPF o DKIM pasan alineados con el dominio del remitente. Gmail, Yahoo y Outlook.com esperan los tres a los remitentes de gran volumen.
¿Qué comprueba cada estándar?
| Estándar | Comprueba | Se publica en | Falla cuando |
|---|---|---|---|
| SPF (RFC 7208) | Que el servidor de envío esté en su lista autorizada | Registro TXT de su dominio | Falta un remitente o hay más de 10 consultas DNS |
| DKIM (RFC 6376) | Que la firma coincida con una clave pública | TXT en selector._domainkey | Mensaje alterado, clave errónea o sin firma para su dominio |
| DMARC | Que SPF o DKIM hayan pasado con un dominio alineado con From | TXT en _dmarc | Ninguno pasa alineado |
¿Cómo se implantan?
- Publique un único registro SPF que cubra todos los servicios que envían con su dominio.
- Configure DKIM con cada proveedor, usando la autenticación de dominio personalizado para que la firma use su dominio.
- Publique DMARC con p=none y una dirección rua para recibir informes.
- Corrija los fallos que muestren los informes y pase después a p=quarantine y p=reject.
¿Qué exigen los proveedores de correo?
- Google: SPF o DKIM para todos los remitentes; SPF, DKIM y DMARC para remitentes masivos de más de 5000 mensajes diarios a Gmail.
- Yahoo: autenticación para todos los remitentes, además de DMARC y baja con un clic para los remitentes masivos.
- Microsoft: SPF y DKIM deben pasar y DMARC al menos en p=none para dominios de más de 5000 correos al día.
- La referencia DMARC vigente es la RFC 9989, que deja obsoleta la RFC 7489.