Hasta hace poco, configurar SPF, DKIM y DMARC era considerado una buena práctica — algo que los remitentes cuidadosos hacían, pero no un requisito estricto. Eso cambió en febrero de 2024, cuando Gmail y Yahoo anunciaron que comenzarían a aplicar estándares de autenticación para todos los remitentes masivos. Las campañas de dominios no autenticados serían rechazadas o entregadas directamente al spam.
El cambio no fue una sorpresa para quienes seguían de cerca la entregabilidad del email. Los ataques de suplantación —donde actores maliciosos envían emails de phishing que parecen proceder de dominios legítimos— habían ido en aumento durante años. Los protocolos de autenticación eran la solución obvia. Lo que cambió es la aplicación: lo que antes era opcional es ahora el precio de admisión a la bandeja de entrada.
Este artículo explica cómo funcionan realmente SPF, DKIM y DMARC, qué exigen ahora Gmail y Yahoo, y cómo utilizarlos para proteger la reputación de tu dominio y el rendimiento de tus campañas.
Los Tres Pilares de la Autenticación de Email
La autenticación de email se construye sobre tres registros DNS complementarios. Cada uno hace algo diferente, y los tres trabajan juntos para dar a los servidores de correo receptores una imagen completa de si un email es legítimo.
SPF: Quién Está Autorizado a Enviar en Tu Nombre
SPF (Sender Policy Framework) es un registro DNS TXT que lista todos los servidores de correo autorizados para enviar emails desde tu dominio. Cuando un servidor receptor recibe un email que dice ser de tuempresa.com, comprueba tu registro SPF para verificar que la IP remitente está en la lista aprobada.
Un registro SPF típico tiene este aspecto:
v=spf1 include:mailgun.org include:_spf.google.com ~all
El ~all al final es un "soft fail" — los emails de servidores no listados se marcan como sospechosos pero no se rechazan. -all es un "hard fail" — se rechazan directamente. La mayoría de los remitentes empiezan con ~all mientras auditan todas sus fuentes de envío.
Lo que SPF no cubre: SPF solo comprueba el dominio "envelope from" — la ruta de retorno técnica, no la dirección From visible para los destinatarios. Esta laguna es donde entra DKIM.
DKIM: Una Firma Criptográfica en Cada Email
DKIM (DomainKeys Identified Mail) añade una firma digital a cada email saliente. La firma se genera usando una clave privada en tu servidor de envío y puede ser verificada por cualquiera usando la clave pública correspondiente publicada en tu DNS.
Cuando un servidor receptor comprueba DKIM:
- Lee la firma DKIM en las cabeceras del email
- Obtiene la clave pública de tu DNS
- Verifica que el contenido del email no ha sido alterado en tránsito
- Confirma que el email proviene genuinamente de un servidor con acceso a tu clave privada
DKIM hace dos cosas simultáneamente: demuestra que el email es tuyo y que no ha sido manipulado. Incluso si alguien intercepta el email durante la entrega y cambia una palabra, la firma DKIM se rompe — y el servidor receptor sabe que algo va mal.
Tu ESP (Mailchimp, Klaviyo, HubSpot, SendGrid, etc.) proporcionará instrucciones de configuración de DKIM específicas para su infraestructura. Normalmente implica añadir dos registros CNAME a tu DNS y activar la firma con dominio personalizado.
DMARC: La Capa de Política que Lo Une Todo
DMARC (Domain-based Message Authentication, Reporting and Conformance) es la política que indica a los servidores receptores qué hacer cuando un email falla SPF o DKIM — y, lo que es fundamental, te informa cuando se producen fallos.
Un registro DMARC tiene tres políticas posibles:
- p=none — Modo monitorización. Los emails fallidos se siguen entregando, pero recibes informes. Úsalo mientras te pones en marcha.
- p=quarantine — Los emails fallidos van al spam. Un paso más que la monitorización.
- p=reject — Los emails fallidos se bloquean completamente. La protección más sólida.
Un registro DMARC básico:
v=DMARC1; p=none; rua=mailto:informes-dmarc@tudominio.com; pct=100
La etiqueta rua especifica dónde se envían los informes agregados. Estos informes XML llegan diariamente y muestran cada IP que envió un email reclamando ser tu dominio — incluidas las no autorizadas que desconocías.
"Los informes DMARC revelan a menudo una sorpresa: plataformas transaccionales, CRMs o herramientas heredadas que envían en tu nombre y que olvidaste autorizar en SPF. La fase de monitorización es cuando descubres tu huella de envío completa."
Qué Exigen Ahora Gmail y Yahoo
Desde febrero de 2024, tanto Gmail como Yahoo aplican requisitos específicos para los remitentes que envían más de 5.000 emails diarios a sus plataformas. Pero en la práctica, incluso los remitentes de menor volumen se benefician del cumplimiento — y algunos requisitos se aplican independientemente del volumen.
La lista completa de requisitos:
- Autenticación SPF o DKIM (se recomiendan ambas)
- Registro DMARC con al menos p=none — el dominio en la dirección From debe tener un registro DMARC
- Alineación del dominio From — el dominio en la dirección From visible debe alinearse con tu dominio SPF o DKIM
- DNS directo e inverso válido para las IPs de envío
- Desuscripción con un clic usando la cabecera List-Unsubscribe-Post
- Tasa de spam inferior al 0,10% para mantener el buen estado; cualquier valor por encima del 0,30% activa la aplicación de medidas
- Sin suplantación de cabeceras de Gmail — no intentes falsificar cabeceras para parecer un envío personal de Gmail
Los remitentes que no cumplen estos requisitos ven sus emails rechazados temporalmente con un código de error 421 o 550. A escala, esto significa que campañas enteras fallan en la entrega — no solo emails individuales.
Reputación del Dominio: Por qué la Autenticación es la Base
Los protocolos de autenticación no mejoran directamente tu posicionamiento en la bandeja de entrada — pero hacen posible todo lo demás. Sin autenticación, no hay una identidad estable sobre la que los proveedores de correo puedan construir una puntuación de reputación.
Piensa en la reputación del dominio como una puntuación crediticia para tu dominio de envío. Gmail, Microsoft y Yahoo mantienen puntuaciones internas basadas en:
- Tasa de interacción de los emails enviados desde tu dominio (aperturas, clics, respuestas)
- Tasa de quejas de spam en toda su base de usuarios
- Señales de calidad de la lista (tasas de rebote, tasas de usuario desconocido)
- Patrones de volumen y picos repentinos de envío
- Consistencia de autenticación — si tus emails siempre pasan DKIM y SPF
Un dominio con autenticación sólida e historial de interacción limpio superará consistentemente a un dominio no autenticado con emails mejor redactados. El algoritmo confía más en los remitentes autenticados, recompensa más la interacción y degrada más rápido las anomalías no autenticadas.
El Problema de la Suplantación: Por qué DMARC Protege Tu Reputación Incluso Cuando No Estás Enviando
Aquí está el escenario que sorprende a la mayoría de los remitentes: la reputación de tu dominio puede dañarse por emails que tú nunca enviaste. Sin una política de aplicación DMARC, cualquiera puede enviar emails de phishing o spam que parezcan venir de tu dominio. Sus quejas de spam se registran contra tu dominio. Su historial de baja interacción arrastra tu puntuación de remitente.
Con p=reject, esos emails suplantados nunca llegan a las bandejas de entrada — por lo que su daño nunca ocurre. Esta es la razón más convincente para eventualmente ir más allá de p=none hacia la aplicación real, una vez que estés seguro de que todos tus envíos legítimos se autentican correctamente.
El Requisito de Alineación: Un Error Común
Uno de los fallos de DMARC más frecuentes proviene de la desalineación del dominio. DMARC exige que el dominio en la dirección From visible coincida (o sea un subdominio de) el dominio que pasa SPF o DKIM.
Un escenario común: una empresa envía emails de marketing con una dirección From de hola@tuempresa.com, pero su ESP envía a través de una infraestructura compartida usando un dominio de ruta de retorno diferente. SPF pasa para el dominio del ESP, pero no se alinea con tuempresa.com — por lo que DMARC falla aunque SPF técnicamente haya pasado.
La solución es la autenticación con dominio personalizado: configura tu ESP para que firme los emails con las claves DKIM de tu propio dominio y establece una ruta de retorno personalizada. Todos los principales ESPs lo soportan. Es la diferencia entre ser un inquilino en el dominio de otra persona y ser dueño de tu identidad de envío.
De p=none a p=reject: Una Hoja de Ruta Práctica
La mayoría de los remitentes deben progresar a través de tres etapas:
-
Despliega p=none y recopila informes (semanas 1–4)
Configura DMARC con política de solo monitorización. Usa una herramienta de informes DMARC (Postmark, MXToolbox, Dmarcian o Google Postmaster Tools) para analizar los informes XML entrantes. Identifica cada IP y servicio que envía como tu dominio. -
Autoriza los remitentes legítimos y corrige la alineación (semanas 4–8)
Añade todas las fuentes de envío legítimas a tu registro SPF. Activa la firma DKIM personalizada para cada ESP o herramienta. Verifica la alineación DMARC comprobando que el dominio autenticado coincide con tu dominio From. -
Pasa a p=quarantine y luego a p=reject (semanas 8–12)
Una vez que tus informes DMARC muestren tasas de aprobación cercanas al 100%, avanza a cuarentena. Monitoriza cualquier caída en la entrega de emails legítimos. Tras confirmar que todo pasa correctamente, avanza a reject. Aquí es cuando entra en vigor la protección total.
"El recorrido de p=none a p=reject normalmente lleva entre 6 y 12 semanas para organizaciones con múltiples herramientas de envío. La fase de monitorización es donde se realiza la mayor parte del trabajo — y donde se encuentran la mayoría de las sorpresas."
Qué Significa Esto para Tu Email Marketing en la Práctica
La autenticación es infraestructura — no escribe mejores líneas de asunto ni mejora tu segmentación. Pero crea la base estable de la que depende todo lo demás. Así se traduce en la gestión diaria de campañas:
- El calentamiento de dominio nuevo es más rápido cuando la autenticación está configurada desde el primer día. Los proveedores de correo confían más rápidamente en el historial de envío autenticado que en el volumen no autenticado.
- Las reputaciones de IP compartidas no te arrastran cuando usas autenticación con dominio personalizado. Tu firma DKIM está vinculada a tu dominio, no a la infraestructura de tu ESP.
- El diagnóstico de entregabilidad es más claro. Cuando tienes informes DMARC, los fallos de autenticación son visibles y atribuibles. Sin ellos, los problemas de entregabilidad son conjeturas.
- La confianza en la marca aumenta. Las firmas DKIM y la aplicación de DMARC significan que los emails genuinamente tuyos son verificablemente tuyos — y los que no lo son, no pueden llegar a tus clientes fingiendo serlo.
La Visión General: La Autenticación Como Nueva Línea Base
Los requisitos de Gmail y Yahoo de 2024 formalizaron lo que los expertos en entregabilidad llevaban una década recomendando. El subtexto del anuncio era claro: la era del email masivo no autenticado está terminando. La bandeja de entrada se está tratando como un espacio curado, y el precio de acceso es una identidad de envío verificada y responsable.
Para los email marketers, esto es en última instancia una buena noticia. Un mundo donde se aplica la autenticación es un mundo donde tus campañas legítimas con opt-in no compiten en igualdad de condiciones con el spam suplantado. La relación señal-ruido en la bandeja de entrada mejora cuando cada remitente tiene algo en juego.
La conclusión práctica es simple: si no has auditado recientemente tu configuración de autenticación, hazlo esta semana. Comprueba que tu registro SPF cubre todas tus fuentes de envío. Verifica que DKIM está configurado con tu dominio — no solo el predeterminado de tu ESP. Configura DMARC como mínimo con p=none y empieza a leer los informes. Luego trabaja hacia la aplicación.
La reputación de tu dominio es un activo a largo plazo. Cada campaña que envías la construye o la consume. La autenticación es cómo te aseguras de que te dan crédito por los buenos envíos — y bloqueas que nadie consuma tu reputación sin tu permiso.