¿Tus correos llegan a spam? SPF, DKIM y DMARC explicados para empresas

Envías un presupuesto, esperas tres días y llamas al cliente. «No me ha llegado nada.» Mira en la carpeta de spam y ahí está, junto a ofertas de criptomonedas. No es mala suerte ni un despiste del cliente: es que Gmail y Outlook no han podido comprobar que ese correo lo enviabas realmente tú. Esa comprobación se hace con tres registros que viven en tu dominio y que muchos negocios no tienen configurados, o los tienen a medias. Se ponen una vez, en una tarde, y cambian dónde llegan tus correos durante años.

Por qué tus correos llegan a spam en Gmail y Outlook

El correo electrónico se inventó en una época en la que todo el mundo se fiaba de todo el mundo. Cualquier servidor puede enviar un correo poniendo como remitente facturas@tunegocio.es, igual que cualquiera puede escribir cualquier dirección en el dorso de un sobre. Los estafadores lo aprovechan para hacerse pasar por bancos, por proveedores y, cada vez más, por negocios pequeños.

Los filtros de Gmail y Outlook se han defendido pidiendo pruebas. Cuando reciben un correo que dice venir de tu dominio, preguntan al dominio si ese servidor tenía permiso para enviarlo y si el mensaje lleva una firma válida. Si el dominio no responde porque no tiene nada configurado, el correo no queda descartado automáticamente, pero pierde muchos puntos. Y un correo con pocos puntos acaba en spam al primer detalle sospechoso.

SPF, DKIM y DMARC sin tecnicismos

Los tres son simples líneas de texto que se ponen en el DNS del dominio, en el mismo sitio donde se configura hacia dónde apunta la web. No se instala nada en el ordenador ni se toca el programa de correo.

Cómo son los registros, con ejemplos

Así es como se ven en el DNS. Los valores exactos te los da cada servicio; estos son los formatos oficiales, para que sepas qué estás mirando cuando entres.

Si usas más de un servicio, no pongas dos registros SPF: todos los include: van en la misma línea, que empieza por v=spf1 y termina en ~all o -all. Cada include: cuenta para el límite de diez consultas, y si hay anidados cuentan más.

Cómo saber en cinco minutos si lo tienes bien

No hace falta ninguna herramienta especial. Solo necesitas una cuenta de Gmail, aunque sea personal:

1. Envía un correo desde la dirección del negocio a tu Gmail.
2. Ábrelo, pulsa los tres puntos de la derecha y elige «Mostrar original».
3. Arriba del todo verás tres líneas: SPF, DKIM y DMARC. Las tres deberían decir PASS.

Si alguna dice FAIL, NONE o directamente no aparece, ya sabes por dónde empezar. Y repite la prueba con cada sitio desde el que se envían correos con tu dominio, porque a menudo el correo normal pasa y lo que falla es otra cosa.

Los errores que vemos más a menudo

En un negocio pequeño, el correo no sale solo del programa de correo. Sale de muchos sitios, y cada uno tiene que estar autorizado. La mayoría de problemas que encontramos al revisar un dominio son alguna de estas situaciones:

• Dos registros SPF. Solo puede haber uno por dominio. Si añades uno nuevo junto al viejo, en lugar de fusionarlos, los dos dejan de funcionar.
• El formulario de la web envía avisos con tu dominio desde el servidor de la web, que no está en la lista del SPF.
• La herramienta de newsletters —Mailchimp, Brevo o similar— envía sin la firma DKIM de tu dominio, porque nadie la activó.
• El programa de facturación envía las facturas «en tu nombre» desde sus servidores sin estar autorizado.
• El SPF tiene demasiadas inclusiones. Hay un límite de diez consultas; pasado ese límite, la comprobación falla aunque todo parezca correcto.
• DMARC puesto directamente en modo estricto sin haber revisado antes qué se envía, con el resultado de que facturas y avisos legítimos dejan de llegar.

Google Workspace y Microsoft 365: dónde se activa

• Google Workspace. El SPF se pone en el DNS del dominio. El DKIM se activa en la consola de administración, en Menú › Apps › Google Workspace › Gmail › Autenticar correo electrónico: ahí se genera la clave —Google recomienda 2048 bits si el proveedor del dominio lo admite—, se pone el registro TXT en el DNS y se pulsa Iniciar autenticación.
• Microsoft 365. Microsoft no tiene ningún panel para el SPF: se crea directamente en el registrador del dominio. El DKIM se activa en el portal de Microsoft Defender, que te dice los dos CNAME exactos de tu dominio. Los valores de ejemplo de la documentación son solo ilustrativos.

Qué exigen Gmail y Outlook

Si tu negocio envía pocos correos, las exigencias estrictas no te tocan sobre el papel. En la práctica, sin embargo, los filtros usan las mismas señales para decidir quién es de fiar, y un dominio con los tres registros bien puestos tiene muchas más papeletas para llegar a la bandeja de entrada.

¿Lo tienes todo en PASS y sigues llegando a spam?

Los tres registros demuestran que el correo es tuyo, no que sea deseado. Si ya pasan las comprobaciones y tus correos siguen llegando a spam en Gmail o en Outlook, mira esto:

• Envíos a listas viejas o compradas. Direcciones que ya no existen y gente que no recuerda haberse apuntado disparan las quejas.
• Cambios bruscos de volumen. Pasar de veinte correos al día a dos mil de golpe, desde un dominio que nunca enviaba, parece sospechoso.
• Correos comerciales sin baja fácil. Si no pueden darse de baja, la gente pulsa «es spam», que es mucho peor.
• La reputación del servidor compartido. Si el correo sale de un alojamiento que compartes con quien envía spam, pagan justos por pecadores.
• Mensajes que parecen estafas: solo una imagen, enlaces acortados, adjuntos que nadie esperaba.

Para Gmail hay una herramienta oficial y gratuita, Postmaster Tools, que enseña la tasa de quejas de tu dominio: es la misma cifra del 0,3 % que Google usa para decidir.

Un plan en cuatro semanas

1. Semana 1: inventario. Haz la lista de todo lo que envía correo con tu dominio: el correo, la web, las newsletters, la facturación, la tienda online, la reserva de citas.
2. Semana 1: SPF único. Un solo registro que incluya todos esos servicios.
3. Semana 2: DKIM en cada servicio. Cada herramienta tiene su opción para activarlo con tu dominio. Actívala en todas.
4. Semana 2: DMARC en none, con una dirección para recibir informes.
5. Semanas 3 y 4: lee los informes. Te dirán si queda algún servicio que envía sin autorización. Cuando esté todo limpio, pasa a quarantine y, más adelante, a reject.

Todo esto solo se puede hacer si el correo del negocio va con un dominio propio. Con una dirección gratuita de Gmail o Hotmail no controlas ninguno de estos registros, y es una de las razones por las que conviene tener uno propio. En WebMasterOsona revisamos y configuramos estos registros cuando hacemos una web o su mantenimiento, porque de poco sirve un formulario de contacto perfecto si las respuestas acaban en spam.

Fuentes: directrices de Gmail para remitentes; SPF y DKIM en Google Workspace; SPF y DKIM en Microsoft 365; y requisitos de Outlook para grandes remitentes. Revisado el 14 de septiembre de 2026.