Els teus correus arriben a la brossa? SPF, DKIM i DMARC explicats per a empreses

Envies un pressupost, esperes tres dies i truques al client. «No m'ha arribat res.» Mira a la carpeta de correu brossa i allà està, al costat d'ofertes de criptomonedes. No és mala sort ni un error del client: és que Gmail i Outlook no han pogut comprovar que aquell correu l'enviaves realment tu. Aquesta comprovació es fa amb tres registres que viuen al teu domini i que molts negocis no tenen configurats, o els tenen a mitges. Es posen una vegada, en una tarda, i canvien on arriben els teus correus durant anys.

Per què els teus correus arriben a la brossa de Gmail i Outlook

El correu electrònic es va inventar en una època en què tothom es fiava de tothom. Qualsevol servidor pot enviar un correu posant al remitent factures@elteunegoci.cat, igual que qualsevol pot escriure qualsevol adreça al dors d'un sobre. Els estafadors ho aprofiten per fer-se passar per bancs, per proveïdors i, cada cop més, per negocis petits.

Els filtres de Gmail i Outlook s'han defensat demanant proves. Quan reben un correu que diu venir del teu domini, pregunten al domini si aquell servidor tenia permís per enviar-lo i si el missatge porta una signatura vàlida. Si el domini no respon perquè no té res configurat, el correu no queda descartat automàticament, però perd molts punts. I un correu amb pocs punts acaba a la brossa al primer detall sospitós.

SPF, DKIM i DMARC sense tecnicismes

Els tres són simples línies de text que es posen al DNS del domini, al mateix lloc on es configura cap a on apunta la web. No s'instal·la res a l'ordinador ni es toca el programa de correu.

Com són els registres, amb exemples

Així és com es veuen al DNS. Els valors exactes te'ls dona cada servei; aquests són els formats oficials, perquè sàpigues què estàs mirant quan hi entres.

Si fas servir més d'un servei, no hi posis dos registres SPF: tots els include: van a la mateixa línia, que comença per v=spf1 i acaba amb ~all o -all. Cada include: compta per al límit de deu consultes, i si n'hi ha d'imbricats en compten més.

Com saber en cinc minuts si ho tens bé

No cal cap eina especial. Només necessites un compte de Gmail, encara que sigui personal:

1. Envia un correu des de l'adreça del negoci al teu Gmail.
2. Obre'l, prem els tres punts de la dreta i tria «Mostra l'original».
3. A dalt de tot veuràs tres línies: SPF, DKIM i DMARC. Totes tres haurien de dir PASS.

Si alguna diu FAIL, NONE o directament no apareix, ja saps per on començar. I repeteix la prova amb cada lloc des d'on s'envien correus amb el teu domini, perquè sovint el correu normal passa i el que falla és un altre.

Els errors que veiem més sovint

En un negoci petit, el correu no surt només del programa de correu. Surt de molts llocs, i cadascun ha d'estar autoritzat. La majoria de problemes que trobem quan revisem un domini són alguna d'aquestes situacions:

• Dos registres SPF. Només en pot haver un per domini. Si n'afegeixes un de nou al costat del vell, en lloc de fusionar-los, tots dos deixen de funcionar.
• El formulari de la web envia avisos amb el teu domini des del servidor de la web, que no és a la llista de l'SPF.
• L'eina de butlletins —Mailchimp, Brevo o similar— envia sense la signatura DKIM del teu domini, perquè ningú no la va activar.
• El programa de facturació envia les factures «en nom teu» des dels seus servidors sense estar autoritzat.
• L'SPF té massa inclusions. Hi ha un límit de deu consultes; passat aquest límit, la comprovació falla encara que tot sembli correcte.
• DMARC posat directament en mode estricte sense haver revisat abans què s'envia, amb el resultat que factures i avisos legítims deixen d'arribar.

Google Workspace i Microsoft 365: on s'activa

• Google Workspace. L'SPF es posa al DNS del domini. El DKIM s'activa a la consola d'administració, a Menú › Aplicacions › Google Workspace › Gmail › Autentica el correu electrònic (els noms poden variar segons l'idioma): s'hi genera la clau —Google recomana 2048 bits si el proveïdor del domini ho admet—, es posa el registre TXT al DNS i s'activa l'autenticació.
• Microsoft 365. Microsoft no té cap panell per a l'SPF: es crea directament al registrador del domini. El DKIM s'activa al portal de Microsoft Defender, que et diu els dos CNAME exactes del teu domini. Els valors que surten d'exemple a la documentació són només il·lustratius.

Què exigeixen Gmail i Outlook

Si el teu negoci envia pocs correus, les exigències estrictes no et toquen sobre el paper. A la pràctica, però, els filtres fan servir els mateixos senyals per decidir qui és de fiar, i un domini amb els tres registres ben posats té molts més números d'arribar a la safata d'entrada.

Ho tens tot en PASS i continues a la brossa?

Els tres registres demostren que el correu és teu, no que sigui desitjat. Si ja passen les comprovacions i els correus continuen arribant a la brossa de Gmail o d'Outlook, mira això:

• Enviaments a llistes velles o comprades. Adreces que ja no existeixen i gent que no recorda haver-s'hi apuntat disparen les queixes.
• Canvis bruscos de volum. Passar de vint correus al dia a dos mil de cop, des d'un domini que mai no n'enviava, sembla sospitós.
• Correus comercials sense baixa fàcil. Si no es poden donar de baixa, la gent prem «és correu brossa», que és molt pitjor.
• La reputació del servidor compartit. Si el correu surt d'un allotjament que comparteixes amb qui envia brossa, pagues justos per pecadors.
• Missatges que semblen estafes: només una imatge, enllaços escurçats, adjunts que ningú esperava.

Per a Gmail hi ha una eina oficial i gratuïta, Postmaster Tools, que ensenya la taxa de queixes del teu domini: és la mateixa xifra del 0,3 % que Google fa servir per decidir.

Un pla en quatre setmanes

1. Setmana 1: inventari. Fes la llista de tot el que envia correu amb el teu domini: el correu, la web, els butlletins, la facturació, la botiga online, la reserva de cites.
2. Setmana 1: SPF únic. Un sol registre que inclogui tots aquests serveis.
3. Setmana 2: DKIM a cada servei. Cada eina té la seva opció per activar-lo amb el teu domini. Activa-la a totes.
4. Setmana 2: DMARC en none, amb una adreça per rebre informes.
5. Setmanes 3 i 4: llegeix els informes. Et diran si queda algun servei que envia sense autorització. Quan estigui tot net, passa a quarantine i, més endavant, a reject.

Tot això només es pot fer si el correu del negoci va amb un domini propi. Amb una adreça gratuïta de Gmail o Hotmail no controles cap d'aquests registres, i és una de les raons per les quals convé tenir-ne un, com expliquem a com triar el millor domini per al teu negoci. A WebMasterOsona revisem i configurem aquests registres quan fem una web o en fem el manteniment, perquè de poc serveix un formulari de contacte perfecte si les respostes acaben a la brossa.

Fonts: directrius de Gmail per a remitents; SPF i DKIM a Google Workspace; SPF i DKIM a Microsoft 365; i requisits d'Outlook per a grans remitents. Revisat el 14 de setembre de 2026.