hollop.net

Comprobador SPF, DMARC y DKIM

Comprueba si tu dominio está bien configurado para enviar correo y crea los registros DNS adecuados, con explicaciones claras en lugar de jerga.

Los generadores funcionan en tu navegadorSigue los include SPF anidadosGratis, sin registro
Indicar selectores DKIM

Si lo dejas vacío se prueban los selectores habituales. El correcto aparece en la cabecera de un correo enviado, en DKIM-Signature, junto a s=.

Dominios para probar:

Introduce un dominio y pulsa «Comprobar».

Para la comprobación, hollop.net consulta los registros DNS públicos del dominio. No se guarda nada.

Entender SPF, DKIM y DMARC

Desde que Google, Yahoo y Microsoft endurecieron los requisitos para remitentes, los correos sin registros SPF, DKIM y DMARC correctos acaban enseguida en spam o se rechazan. Los tres mecanismos funcionan juntos y se publican como registros TXT en el DNS del dominio remitente.

SPF: ¿quién puede enviar por el dominio?

El registro SPF (Sender Policy Framework) del propio dominio enumera los servidores autorizados a enviar correo en su nombre. El receptor compara la IP del servidor que entrega el correo con esa lista.

ejemplo.es.  TXT  "v=spf1 mx include:spf.protection.outlook.com ~all"

DKIM: ¿el mensaje está intacto?

Con DKIM (DomainKeys Identified Mail), el servidor firma cada correo saliente con una clave privada. La clave pública correspondiente se publica en selector._domainkey.ejemplo.es. Los selectores permiten usar varias claves a la vez, por ejemplo una por servicio. Se recomiendan claves RSA de 2048 bits.

DMARC: ¿qué pasa si falla?

DMARC vincula SPF y DKIM con la dirección de remitente visible y define qué ocurre con los mensajes que no superan ninguna de las dos comprobaciones alineadas con el dominio remitente. El registro está en _dmarc.ejemplo.es.

_dmarc.ejemplo.es.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@ejemplo.es"

Orden recomendado

  1. Configurar SPF con todas las vías de envío legítimas y ~all.
  2. Activar DKIM en cada servicio que envía en tu nombre.
  3. Empezar DMARC con p=none y rua y revisar los informes durante unas semanas.
  4. Cuando todo el correo legítimo pase, cambiar a p=quarantine y después a p=reject.

Proteger dominios que no envían correo

Los dominios que nunca envían correo también deben protegerse contra abusos: v=spf1 -all como SPF, v=DMARC1; p=reject como DMARC y, opcionalmente, un MX nulo (MX 0 .).

Preguntas frecuentes

¿Por qué mis correos van a spam pese a tener SPF?

SPF por sí solo ya no basta a los grandes proveedores. Gmail, Yahoo y Outlook esperan además una firma DKIM válida y un registro DMARC. SPF o DKIM también deben coincidir con el dominio de la dirección de remitente visible.

¿Qué significa «too many DNS lookups» en SPF?

Un registro SPF puede provocar como máximo 10 consultas DNS al evaluarse, incluidos los include anidados. Si se supera el límite, SPF falla por completo. Solución: quitar los include que ya no uses o indicar rangos fijos con ip4/ip6.

¿Cómo encuentro mi selector DKIM?

Abre el código fuente de un correo enviado con el servicio y busca la cabecera DKIM-Signature. El valor tras s= es el selector y el que va tras d=, el dominio firmante. Microsoft 365 usa selector1 y selector2; Google Workspace, google por defecto.

¿Debo usar -all o ~all?

Con DMARC, ~all suele bastar, porque es DMARC quien decide. -all es más estricto y tiene sentido si conoces todas tus vías de envío. Para dominios que no envían correo, usa siempre -all.

¿Se guardan mis datos?

No. Los generadores de SPF, DMARC y DKIM funcionan por completo en tu navegador; incluso la clave privada DKIM se crea solo allí. Para la comprobación, hollop.net consulta registros DNS públicos sin guardar nada.