Los mejores proveedores para la gestión de DKIM y SPF

Resumen ejecutivo: Esta guía aborda los requisitos ahora obligatorios para la autenticación de correo electrónico SPF y DKIM tras las acciones de cumplimiento por parte de Google, Yahoo y Microsoft en 2024-2025. Explica cómo estos protocolos trabajan junto con DMARC para proteger los dominios contra suplantación y garantizar la entrega de correos, al tiempo que destaca problemas comunes como el límite de 10 búsquedas DNS en SPF y la falta de rotación adecuada de claves DKIM.

La guía presenta a Red Sift OnDMARC como una solución integral que simplifica la gestión mediante Dynamic SPF y seguimiento integrado de DKIM, consiguiendo normalmente la aplicación total de DMARC en 6-8 semanas.

Puntos clave:

• La autenticación de correo electrónico ya no es opcional: Google, Yahoo y Microsoft ahora rechazan o ponen en cuarentena los correos de remitentes masivos que no autentiquen con SPF, DKIM y DMARC. El incumplimiento impacta directamente en la entregabilidad y los ingresos.
• El límite de 10 búsquedas de SPF sorprende a la mayoría de las organizaciones: Usar solo 3-5 servicios de correo externos puede superar este límite, causando fallos de autenticación aleatorios. Las soluciones de Dynamic SPF eliminan este problema sin los riesgos del aplanamiento manual.
• Las claves DKIM requieren gestión activa: Ahora, las claves de 2048 bits son el estándar mínimo y M3AAWG recomienda rotarlas cada seis meses. Muchas organizaciones todavía utilizan claves antiguas de 1024 bits desde hace años, lo que crea vulnerabilidades de seguridad.
• La alineación es la pieza que falta: SPF y DKIM pueden aprobarse, pero DMARC sigue fallando si ninguno se alinea con tu dominio visible "From". Por eso la alineación de DKIM es clave especialmente para los remitentes masivos, pues resiste el reenvío mejor que SPF.

Configurar correctamente SPF y DKIM ya no es opcional. Con Google, Yahoo y Microsoft aplicando estrictos requisitos de autenticación de correo para remitentes masivos, las organizaciones que no gestionen adecuadamente estos protocolos se enfrentan a fallos de entregabilidad, vulnerabilidades de seguridad y posibles daños a la marca.

Se estima que se envían 3.400 millones de correos de phishing cada día [1]. El correo electrónico sigue siendo la superficie de ataque favorita de los ciberdelincuentes, con el 94% del malware distribuido a través de archivos adjuntos de correo [2]. Por eso los principales proveedores han puesto un límite claro.

Desde febrero de 2024, Google y Yahoo exigen que los remitentes masivos (quienes envían más de 5.000 correos diarios) autentiquen sus emails con SPF y DKIM, y al menos uno de ellos alineado para cumplir DMARC [3]. Microsoft hizo lo mismo en mayo de 2025, rechazando directamente los correos no conformes [4]. No son recomendaciones. Son requisitos.

Esta guía cubre:

• Cómo SPF y DKIM trabajan conjuntamente para autenticar tu correo
• Los errores frecuentes que rompen SPF y DKIM (y cómo solucionarlos)
• Qué buscar en un proveedor de autenticación de correo
• Por qué DMARC une todo el proceso
• Cómo Red Sift OnDMARC simplifica todo el sistema

Sender Policy Framework (SPF) es la lista de invitados de tu dominio para el envío de correo. Es un registro DNS que indica a los servidores receptores qué direcciones IP pueden usar tu dominio para enviar emails [5].

Cuando llega un correo, el servidor receptor consulta el registro SPF del dominio en el return-path. Si la IP emisora está en la lista, SPF aprueba. Si no, falla.

SPF tiene una limitación crítica que afecta a la mayoría de organizaciones: el límite de 10 búsquedas DNS [6]. Cada include, a, mx, ptr y redirect en tu registro cuenta para el límite. Si lo excedes, los servidores devuelven "permerror" y tus correos empiezan a fallar en autenticación al azar.

Así de rápido se suma:

• Google Workspace: 4 búsquedas DNS
• Microsoft 365: 2-3 búsquedas DNS
• Plataformas de automatización de marketing: 3-7 búsquedas DNS cada una
• Envío desde CRM: 2-4 búsquedas DNS

La mayoría de medianas empresas usan al menos 3-5 herramientas enviando en su nombre. Al sumarlas, superas los 10 lookups antes de notarlo.

• Aplanamiento SPF convierte hostnames a direcciones IP, que no cuentan para el límite. ¿El problema? Los proveedores de correo cambian a menudo las IPs, y tu registro aplanado se queda obsoleto y falla la autenticación [7].
• Macros SPF resuelven los lookups en el momento de consulta. Pero infraestructuras de recepción antiguas pueden no soportarlas bien, causando resultados inconsistentes [8].
• Delegación de subdominios crea registros SPF separados para cada servicio en subdominios. Funciona, pero tu dirección "From" mostrará el subdominio en vez del dominio principal.
• Dynamic SPF como Dynamic SPF de Red Sift consolida todos los remitentes autorizados en un solo include que se resuelve dinámicamente. Sin cambios DNS manuales, sin problemas de compatibilidad de macros ni complejidad de subdominios.

Siguiendo las recomendaciones de autenticación de M3AAWG [9]:

• Publica registros SPF para todos los dominios emisores, incluidos los aparcados
• Utiliza ~all (softfail) en vez de -all (hardfail) para permitir la evaluación DMARC
• Audita los registros SPF cada tres meses para eliminar includes no usados
• Lleva el control de todos los servicios externos que envían en tu nombre
• Prueba los cambios en modo monitorización antes de aplicar la política

DomainKeys Identified Mail (DKIM) añade una firma criptográfica a tus correos salientes [10]. Demuestra dos cosas: que el correo proviene efectivamente de tu dominio y que su contenido no se ha alterado en tránsito.

Al enviar, el servidor genera una firma única usando una clave privada y la añade a la cabecera. El receptor obtiene la clave pública de DNS y verifica que coinciden.

La robustez de las claves es clave. Las de 1024 bits eran estándar, pero ya no son seguras. Ahora se recomienda 2048 bits como mínimo [11]. Algunas organizaciones ya migran a 4096 bits por mayor seguridad.

La rotación de claves es esencial. Según M3AAWG, rota las claves DKIM al menos cada seis meses [12]. Quienes tengan riesgos altos (por ejemplo, banca) deberían rotar mensualmente. Pero muchas organizaciones siguen usando claves de 1024 bits desde 2015 [13].

Convenciones de nombres de selector ayudan a identificar qué clave está activa. Selectores descriptivos como "ene2026" facilitan auditar la rotación y saber qué servicios usan cada clave [14].

• Utiliza al menos claves de 2048 bits (migra desde 1024 inmediatamente)
• Rota las claves al menos cada seis meses
• Mantén dos claves activas durante la rotación para evitar fallos
• Firma todos los correos, incluidos los transaccionales
• Alinea el dominio Firmante DKIM con el dominio "From" para DMARC
• Utiliza selectores distintos para cada servicio emisor
• Documenta tu calendario de rotación y convención de selectores

SPF y DKIM son protocolos esenciales, pero no fueron diseñados para funcionar juntos. Aquí entra DMARC (Domain-based Message Authentication, Reporting y Conformance).

DMARC exige que al menos SPF o DKIM apruebe Y se alinee con el dominio en la cabecera "From" [15]. Esta es la clave. Puedes tener SPF y DKIM aprobando por separado, pero si ninguno se alinea con el dominio visible, DMARC falla.

Alineación SPF: el dominio en el return-path (envelope sender) coincide con el dominio en "From". Muchos servicios externos usan su return-path propio para gestionar rebotes, rompiendo la alineación SPF.

Alineación DKIM: el dominio en la firma DKIM (valor d=) coincide con el "From". Suele ser más fiable porque sobrevive a reenvíos que suelen romper SPF.

Por esto Google, Yahoo y Microsoft exigen DKIM para remitentes masivos. SPF sola no basta.

Puedes fijar la exigencia de alineación para SPF y DKIM de forma independiente por los parámetros `aspf` y `adkim` en el registro DMARC. La mayoría prefiere SPF relajado y DKIM estricto: SPF se rompe fácil con dominios Return-Path externos y reenvíos, mientras DKIM viaja con el mensaje y resiste reglas estrictas [22].

Si no lo has ajustado, empieza ambos en relajado. Observa los reportes DMARC unas semanas, confirma qué remitentes soportarían modo estricto y refuerza solo el tag detrás del que controlas directamente el origen.

Una novedad respecto a guías más antiguas: RFC 9989 (DMARCbis) reemplazó a RFC 7489. La mecánica de alineación no cambió, pero el modo de determinar el "dominio organizacional" sí. Antes se usaba Public Suffix List; ahora, un barrido por árbol DNS [23].

Las políticas DMARC tienen tres niveles:

• p=none: Solo monitoriza. Envía reportes pero no afecta la entrega.
• p=quarantine: Manda los fallos a la carpeta SPAM.
• p=reject: Bloquea completamente los fallos.

El cambio a cumplimiento suele llevar 4-8 semanas [16]. Se necesita ese tiempo para identificar todos los remitentes legítimos, configurar bien SPF y DKIM y corregir la alineación antes de activar la protección.

Tu proveedor debe resolver el límite de 10 búsquedas DNS sin crear nuevos problemas. Soluciones basadas en aplanamiento manual fallan si cambian las IPs. Las basadas en macros pueden no funcionar con todas las infraestructuras receptoras.

Dynamic SPF de Red Sift OnDMARC emplea un solo include dinámico, autenticando todos los remitentes aprobados en tiempo real. Sin cambios DNS manuales, sin preocupaciones de compatibilidad por macros, y sin fallos de autenticación aleatorios.

Busca proveedores que:

• Soporten claves de 2048 bits (idealmente hasta 4096 bits)
• Automatizan la rotación programada de claves
• Mantienen varias claves activas en rotación
• Controlan el uso de selectores en todos los servicios emisores
• Alertan sobre claves débiles o próximas a caducar

SPF y DKIM existen para el cumplimiento DMARC. El proveedor debe ofrecer:

• Reportes agregados de tasas de éxito/fallo de autenticación
• Reportes forenses con detalles granulares de fallos
• Visibilidad clara de qué servicios autentican correctamente (o no)
• Guías prácticas para corregir incidentes

Gestionar SPF, DKIM y DMARC requiere cambios DNS frecuentes. Proveedores que permitan todo desde su plataforma eliminan acceso adicional y reducen errores.

OnDMARC permite configurar SPF, DKIM, DMARC, BIMI y MTA-STS desde una sola interfaz. Un cambio DNS inicial y el resto, directamente en la plataforma.

La autenticación del correo no es solo un trámite técnico. Impacta directamente en los ingresos y la seguridad de tu organización.

Cuando SPF o DKIM fallan, tus correos podrían no llegar. Las campañas de marketing fracasan, la captación comercial se pierde, comunicaciones a clientes van a spam. El efecto económico escala rápido.

Haz la cuenta: si tu empresa envía 50.000 correos al mes y una mala autenticación baja la entregabilidad un 10%, son 5.000 emails que pierden su destino. Para ventas o marketing, esto son oportunidades e ingresos perdidos.

Wise, especialista en transferencias internacionales de dinero, subió su tasa de entregabilidad al 99% tras implementar OnDMARC [20]. Esa mejora vino de configurar bien SPF y DKIM en todos sus servicios emisores.

Las campañas de phishing que suplantan tu dominio dañan mucho más que tu reputación. Erosionan la confianza, exponen tu empresa a responsabilidades y pueden facilitar fraudes BEC millonarios.

La división de delitos informáticos del FBI registró 21.442 denuncias BEC en 2024, con pérdidas de $2.770 millones [21]. Muchos de estos ataques empiezan por suplantar dominios que la autenticación adecuada puede evitar.

Si tu dominio está protegido con SPF, DKIM y DMARC en modo enforcement, los atacantes no podrán enviar correos como si fueran tus usuarios. Los mensajes falsos serán rechazados antes de llegar a tus clientes, socios o empleados.

Agencias públicas y organismos de regulación exigen cada vez más autenticación de correo. NIST recomienda DMARC en sus pautas federales. El NCSC británico lo impulsa igualmente y la Comisión Europea publicó guías para entidades miembro.

En sectores regulados (salud, finanzas), autenticar el correo no es opcional: es demostrar la debida diligencia en proteger comunicaciones sensibles.

OnDMARC trabaja la autenticación de correo de forma integral, gestionando SPF, DKIM y DMARC como un solo sistema.

• Gestión SPF: Dynamic SPF elude el límite de 10 búsquedas mediante un único include dinámico. Los remitentes legítimos se autentican vía un mecanismo que se actualiza automáticamente. Sin macros, mejor compatibilidad [17].
• Gestión DKIM: OnDMARC monitoriza claves DKIM en todos los servicios, alerta sobre firmas débiles o ausentes y orienta la correcta configuración. Integra con grandes proveedores para facilitar la instalación DKIM.
• Enforcement DMARC: Organizaciones que usan OnDMARC logran enforcement completo (p=reject o p=quarantine) en promedio en 6-8 semanas [18]. La plataforma analiza reportes DMARC y sugiere soluciones prescriptivas.
• Más allá de la autenticación: OnDMARC incluye DNS Guardian para monitorizar subdominios y ataques de SubdoMailing, además de soporte BIMI y logos verificados en bandeja de entrada.

Proveedores de correo como SendGrid o Amazon SES firman DKIM solo para el correo que gestionan, pero no gestionan tu SPF ni ofrecen reportes DMARC. Aún tendrás que mantener la autenticación global tú mismo.

Servicios de aplanamiento SPF tipo AutoSPF/SafeSPF evitan el límite de consultas pero debes delegar tu SPF a infraestructuras ajenas. Cortes de servicio afectan la entrega directamente.

Plataformas solo DMARC reportan, pero quizá no solucionan problemas de configuración SPF/DKIM. Tienes visibilidad, pero no herramientas para arreglar fallos.

Herramientas gratuitas como MxToolbox o URIports ayudan a validar configuraciones pero no ofrecen gestión, automatización ni soporte para aplicar políticas.

Empieza identificando cada servicio que envía correo usando tu dominio. Incluye:

• Correo corporativo (Microsoft 365, Google Workspace)
• Plataformas de automatización de marketing
• Sistemas CRM que envían emails
• Servicios de emails transaccionales
• Plataformas HR y de reclutamiento
• Sistemas de soporte al cliente
• Software de finanzas y contabilidad

Audita tu registro SPF buscando includes no usados y contando consultas DNS. Comprueba si DKIM está configurado para cada emisor.

Crea un inventario de servicios emisores que incluya:

• Nombre del servicio y proveedor
• Volumen y tipo de email (marketing, transaccional, interno)
• Mecanismo actual SPF include
• Selector DKIM y longitud de clave
• Estatus de alineación (alineado o no con tu From)

Este inventario es tu fuente de verdad para la configuración de autenticación.

Añade o actualiza claves DKIM para cada servicio. Prioriza las de 2048 bits y documenta la convención de nombres de selectores.

Configuración DKIM en proveedores principales:

• Microsoft 365: Usa registros CNAME hacia la infraestructura de DKIM de Microsoft. Rotación automática entre dos selectores.
• Google Workspace: Genera claves en el panel de administración y publica entradas TXT en DNS. Considera selectores personalizados para mejor gestión.
• Plataformas de marketing: La mayoría pide añadir CNAME/TXT. Verifica si soportan alineación DKIM con tu From.

Optimiza tu registro SPF o implementa Dynamic SPF para cumplir el límite pero autorizar todos los remitentes legítimos.

Publica el registro DMARC con p=none para empezar a recibir reportes agregados sin afectar la entrega. Usa la etiqueta rua con una dirección propia o la del proveedor DMARC.

Revisa reportes DMARC para identificar:

• Remitentes legítimos que no autentican correctamente
• Fallos de alineación (SPF/DKIM aprueban pero no se alinean)
• Fuentes emisoras desconocidas o no autorizadas
• Patrones de volumen que indiquen suplantación potencial

Corrige los problemas de autenticación en cada servicio. Puede requerir coordinar con terceros para firmar DKIM personalizado o ajustar return-paths.

Problemas frecuentes:

• Servicios externos firmando DKIM con su propio dominio, no el tuyo
• Plataformas de marketing con return-paths que rompen SPF
• Sistemas antiguos sin soporte DKIM
• Servicios "Shadow IT" enviando correos fuera de control del departamento TI

Pasa de p=none a p=quarantine para probar enforcement sin bloquear todo. Monitoriza las tasas de entrega en spam.

Comienza con un bajo porcentaje usando pct (por ejemplo pct=10), aplicando la política solo a un segmento de fallos. Aumenta gradualmente según lo verifiques.

Cuando estés seguro de que todo correo legítimo autentica bien, cambia a p=reject para protección total.

Después del enforcement, sigue monitorizando. Nuevos remitentes, cambios de configuración y actualizaciones de terceros pueden romper autenticación. La vigilancia es clave para no tener sorpresas.

• Síntomas: SPF aprueba para unos destinatarios y falla para otros. Los reportes DMARC muestran resultados inconsistentes.
• Causa probable: Has superado el límite de 10 búsquedas DNS. Algunos servidores pueden evaluar tu SPF completo antes de llegar al límite y ven un aprobado; otros topan con el límite antes y devuelven permerror.
• Solución: Audita tu registro SPF para eliminar includes innecesarios. Elimina los mecanismos de servicios que ya no utilizas. Implementa SPF dinámico o delegación de subdominios para mantenerte por debajo del límite.

• Síntomas: Después de migrar de plataforma de correo (por ejemplo, de una herramienta de automatización de marketing a otra), DKIM comienza a fallar.
• Causa probable: Las claves DKIM antiguas siguen en DNS pero la nueva plataforma utiliza selectores diferentes. O bien, la nueva plataforma no está configurada para firmar con tu dominio.
• Solución: Genera nuevas claves DKIM para la nueva plataforma. Publícalas en DNS usando el selector especificado por la plataforma. Verifica que la plataforma firme usando el valor d= de tu dominio, no el suyo. Elimina las claves antiguas cuando confirmes que la nueva configuración funciona.

• Síntomas: Los reportes DMARC muestran que SPF y DKIM pasan, pero DMARC sigue fallando.
• Causa probable: Ni SPF ni DKIM están alineados con tu dominio From. El servicio se autentica, pero no de una manera útil para DMARC.
• Solución: Revisa el dominio return-path (para la alineación SPF) y el valor d= en las firmas DKIM (para la alineación DKIM). Trabaja con el servicio de envío para configurar dominios personalizados que coincidan con tu dirección From.

• Síntomas: La verificación DKIM falla con errores de "firma inválida". La clave está publicada correctamente en DNS.
• Causa probable: El contenido del correo fue modificado en tránsito. Listas de correo que añaden pies de mensaje, gateways de seguridad que reescriben URLs o servicios de reenvío pueden romper las firmas DKIM.
• Solución: Esto suele estar fuera de tu control. Asegura la alineación de SPF como respaldo. Considera implementar ARC (Authenticated Received Chain) si eres la organización que modifica emails en tránsito.

La gestión de SPF y DKIM pasó de ser algo deseable a un requisito. Google, Yahoo y Microsoft ahora exigen estándares estrictos de autenticación y los correos no conformes se rechazan en lugar de sufrir sólo problemas de entrega.

Los retos son reales: el límite de 10 búsquedas de SPF genera un mantenimiento constante, la rotación de claves DKIM exige una coordinación cuidadosa y alinear todo para DMARC añade un nivel más de complejidad.

Pero la solución no tiene que ser complicada. Plataformas como Red Sift OnDMARC consolidan la gestión de SPF, DKIM y DMARC en una sola interfaz, automatizan las tareas tediosas y dan una guía clara para alcanzar la máxima protección.

Las organizaciones que gestionan esto correctamente protegen sus dominios del spoofing, mejoran la entregabilidad de sus correos y se anticipan a las exigencias cada vez más estrictas de los proveedores de buzones. Las que no, verán cómo sus correos terminan en la carpeta de spam o ni siquiera llegan.

[1] SalesHive. "DKIM, DMARC, SPF: Mejores prácticas para la seguridad y entregabilidad del correo en 2025." https://saleshive.com/blog/dkim-dmarc-spf-best-practices-email-security-deliverability/ 

[2] Verizon. "Reporte de Investigaciones de Brechas de Datos 2024." https://www.verizon.com/business/resources/reports/dbir/ 

[3] Yahoo. "Mejores prácticas para remitentes." https://senders.yahooinc.com/best-practices/ 

[4] Microsoft. "Fortaleciendo el ecosistema del correo: Nuevos requisitos de Outlook para remitentes de alto volumen." https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/strengthening-email-ecosystem-outlook's-new-requirements-for-high‐volume-senders/4399730 

[5] IETF. "RFC 7208: Sender Policy Framework." https://datatracker.ietf.org/doc/html/rfc7208 

[6] Mailhardener. "El límite de búsquedas SPF explicado." https://www.mailhardener.com/blog/spf-lookup-limit-explained 

[7] URIports. "Macros SPF: Superando el límite de 10 búsquedas DNS." https://www.uriports.com/blog/spf-macros-max-10-dns-lookups/ 

[8] Mailhardener. "No aplanes tu registro SPF." https://www.mailhardener.com/blog/do-not-flatten-spf 

[9] M3AAWG. "Recomendaciones de mejores prácticas para autenticación de correo." https://www.m3aawg.org/sites/default/files/m3aawg-email-authentication-recommended-best-practices-09-2020.pdf 

[10] IETF. "RFC 6376: Firmas DomainKeys Identified Mail." https://datatracker.ietf.org/doc/html/rfc6376 

[11] Twilio SendGrid. "Claves DKIM de 2048 bits: Longitud y mejores prácticas." https://www.twilio.com/en-us/blog/insights/2048-bit-dkim-keys 

[12] M3AAWG. "Mejores prácticas para rotación de claves DKIM." https://www.m3aawg.org/DKIMKeyRotation 

[13] Suped. "¿Con qué frecuencia se deben rotar las claves DKIM y qué longitud es ideal?" https://www.suped.com/knowledge/email-authentication/dmarc/how-often-should-you-rotate-your-dkim-keys-and-what-key-length-is-best 

[14] Mailgun. "¿Cómo puedo rotar mi clave DKIM?" https://help.mailgun.com/hc/en-us/articles/16956951504539-How-can-I-rotate-my-DKIM-key 

[15] IETF. "RFC 7489: Domain-based Message Authentication, Reporting, and Conformance." https://datatracker.ietf.org/doc/html/rfc7489 

[16] Red Sift. "OnDMARC." https://redsift.com/pulse-platform/ondmarc 

[17] Red Sift. "SPF, DKIM y DMARC: Protocolos esenciales de correo explicados." https://redsift.com/guides/email-protocol-configuration-guide/all-you-need-to-know-about-spf-dkim-and-dmarc 

[18] Cisco. "Cisco Secure Email + Red Sift Domain Protection." https://docs.ces.cisco.com/docs/red-sift-cisco-secure-email 

[19] URIports. "Mejores prácticas para SPF, DKIM y DMARC." https://www.uriports.com/blog/spf-dkim-dmarc-best-practices/ 

[20] Red Sift. "Éxito de clientes OnDMARC." https://redsift.com/customers/customer-success 

[21] Bright Defense. "Más de 200 estadísticas sobre phishing para 2026." https://www.brightdefense.com/resources/phishing-statistics/