Definición
SPF, DKIM y DMARC son los tres estándares de autenticación de correo electrónico basados en DNS. SPF indica qué servidores pueden enviar en nombre de un dominio, DKIM firma los mensajes criptográficamente y DMARC indica a los receptores qué hacer cuando un correo no supera esas comprobaciones y les pide que envíen informes.
SPF (Sender Policy Framework, RFC 7208) es un registro DNS TXT que enumera las direcciones IP y los servicios autorizados a enviar correo con el dominio del remitente del sobre. Los receptores comparan con él el servidor que se conecta. SPF admite como máximo 10 consultas DNS, un límite que a menudo se supera al añadir muchos proveedores.
DKIM (DomainKeys Identified Mail, RFC 6376) añade una firma digital a las cabeceras de cada mensaje. El receptor la verifica con una clave pública publicada en el DNS bajo un selector. Gmail exige claves de al menos 1.024 bits y recomienda 2.048.
DMARC se apoya en ambos. Un dominio publica una política (p=none, quarantine o reject) y direcciones para recibir informes. Un mensaje supera DMARC cuando SPF o DKIM se validan para un dominio alineado con el dominio From visible. DMARC se definió originalmente en la RFC 7489, sustituida en mayo de 2026 por una nueva especificación de estándar, la RFC 9989.
Gmail exige SPF, DKIM y DMARC a los remitentes masivos. Para implantar DMARC, conviene empezar con p=none, leer los informes para identificar cada remitente legítimo (CRM, help desk, plataforma de mensajería), corregir su SPF y DKIM y después pasar a quarantine y reject.
Ejemplo
_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"