Verificador de seguridad de correo (SPF, DKIM, DMARC)
Revisa el SPF, DKIM, DMARC, MTA-STS, BIMI y DNSSEC de un dominio y obtén registros DNS listos para copiar para lo que falte. Consulta el DNS de Cloudflare.
Consulta en líneaLas consultas DNS públicas del dominio van de tu navegador a Cloudflare (cloudflare-dns.com). No guardamos nada.
Revisión automática; no garantiza seguridad.
Cómo usarla
- Escribe un dominio, por ejemplo `tienda-ejemplo.co`.
- Si quieres, agrega el selector DKIM de tu proveedor de correo.
- Presiona Revisar y mira cada fila: verde está bien, ámbar requiere atención y rojo falta o es inseguro.
- En Registros listos para copiar, copia cada registro SPF, DMARC o DKIM sugerido y pégalo donde se administra el DNS de tu dominio, como se indica.
Para qué le sirven SPF, DKIM y DMARC a un negocio pequeño
Sin SPF, DKIM y DMARC, cualquiera puede enviar un mensaje que muestre facturacion@tu-empresa.co como remitente. Así les llegan a tus clientes, a tu nombre, facturas falsas y correos de “cambiamos de cuenta bancaria”. Los mismos registros ayudan a que tus correos reales lleguen a la bandeja de entrada: desde 2024, Gmail y Yahoo les piden a todos los que les envían correo que configuren SPF o DKIM, y a los que envían en grandes cantidades, también DMARC.
En palabras sencillas: SPF es la lista de servidores autorizados a enviar por tu dominio. DKIM es una firma digital en cada mensaje. DMARC les dice a los servidores que reciben qué hacer con el correo que falla las dos, y a dónde mandar reportes. MTA-STS, TLS-RPT y BIMI son extras opcionales, y DNSSEC firma tus respuestas DNS para que no se puedan falsificar. Todos son registros DNS públicos, por eso la revisión solo necesita el dominio.
Una tienda en Google Workspace con p=none
Revisa tienda-ejemplo.co. Su MX apunta a Google, así que la página dice que tu correo está alojado en Google Workspace. El SPF es v=spf1 include:_spf.google.com ~all: verde, con las consultas DNS que usa de un límite de 10. DKIM aparece para el selector google. DMARC es v=DMARC1; p=none; rua=mailto:dmarc@tienda-ejemplo.co, en ámbar: solo monitorea. DNSSEC está sin firmar. Pasan dos de las cuatro protecciones principales, así que la nota es C.
En Registros listos para copiar aparece el siguiente paso de DMARC, v=DMARC1; p=quarantine; rua=mailto:dmarc@tienda-ejemplo.co, para pegar como registro TXT en _dmarc cuando 2 a 4 semanas de reportes muestren que todo tu correo legítimo pasa SPF o DKIM.
Errores comunes que detecta, y lo que no puede ver
Agregar un segundo registro SPF al inscribirte en un servicio de boletines o de facturación, en vez de editar el que ya tienes: con dos, SPF falla, y la página te ofrece uno solo que los une. Pasarte de 10 consultas DNS por acumular includes. Saltar directo a p=reject antes de que todos los servicios que envían a tu nombre, como el de facturación o el de la tienda en línea, pasen las revisiones, lo que puede bloquear tus propias facturas.
La revisión solo lee el DNS público. No puede ver si un correo en particular pasó o falló; para eso, lee tus reportes DMARC o los encabezados del mensaje. Solo encuentra DKIM en los selectores que conoce o en el que escribas, así que “no encontrado” puede ser simplemente un selector poco común.
Preguntas frecuentes
¿Qué es DMARC y por qué importa?
DMARC les dice a los servidores de correo qué hacer con los mensajes que fallan SPF y DKIM. Con p=quarantine o p=reject, los servidores que revisan DMARC, como Gmail y Outlook, mandan a spam o rechazan los correos falsos que usan exactamente tu dominio. No frena los dominios parecidos, como tu-empresa-pagos.co.
¿Por qué DKIM aparece como no encontrado?
Las claves DKIM viven bajo un nombre de 'selector' que elige tu proveedor de correo. Detectamos tu proveedor por sus registros MX y probamos sus selectores y los más comunes; si el tuyo es otro, escríbelo en el campo opcional.
¿Mi dominio se envía a eThorns?
No. Las consultas van directamente desde tu navegador al resolvedor DNS público de Cloudflare (1.1.1.1).
¿Qué diferencia hay entre ~all y -all en el SPF?
Los dos cierran la lista de servidores autorizados. `~all` (fallo suave) les pide a los servidores que reciben que traten como sospechoso el correo de otros servidores; `-all` (fallo estricto) les pide rechazarlo. Con DMARC activo, su política es la que decide, así que `~all` es una buena opción, y más segura, mientras terminas de encontrar todos los servicios que envían por ti. La página marca los dos como correctos.
Mi dominio no envía correo. ¿Igual necesito esto?
Sí, porque a los estafadores también les sirven los dominios sin uso. Si no tiene servidores de correo (sin MX), la página te sugiere dos registros: `v=spf1 -all`, que dice que ningún servidor puede enviar por él, y `v=DMARC1; p=reject;`, que les pide a los servidores rechazar todo lo que diga venir de él. Un dominio sin ninguno de los dos es fácil de suplantar.
Guías sobre esta herramienta
- G3Cómo configurar DMARC en un día: SPF, DKIM y DMARCUn plan de un día para configurar SPF, DKIM y DMARC en el dominio de tu negocio, revisarlos con herramientas gratis y llegar a p=reject sin sustos.
- G14¿Por qué mis correos llegan a spam? Solución para negociosPor qué los correos de tu negocio llegan a spam: SPF, DKIM y DMARC, las reglas de Gmail y Yahoo, los errores más comunes y cómo revisar tu dominio.
- G24Cómo leer los encabezados de un correo y detectar uno falsoEncuentra los encabezados de un correo en Gmail, Outlook o Apple Mail, lee las líneas Received y SPF, DKIM y DMARC, y averigua si el remitente es falso.
- G25Cómo leer tu primer reporte DMARC, línea por líneaQué significa cada parte de un reporte DMARC, por qué tus servicios pueden fallar, cómo distinguir un reenvío de una suplantación y cómo llegar a reject.
Más en este capítulo
- 2.1¿Cuál es mi IP?Mira tu dirección IP pública, si es IPv4 o IPv6, tu país, la versión de TLS y HTTP, y lo que cualquier sitio web puede saber de ti por tu conexión.
- 2.3Generador de registro SPFArma un solo registro SPF para tu dominio con tus servicios de correo, servidores y rangos IP.
- 2.4Consulta DNSConsulta los registros DNS de cualquier dominio (A, AAAA, CNAME, MX, TXT, NS, SOA, CAA, SRV) o el DNS inverso de una IP, con TTL y validación DNSSEC.
- 2.5Analizador de encabezadosPega los encabezados de un correo para ver por qué servidores pasó, qué resultado de SPF, DKIM y DMARC anotó tu proveedor y si el remitente parece falso.
- 2.6Propagación DNSPregúntales a 10 resolvedores públicos (Google, Cloudflare, Quad9…) por los registros A, AAAA, CNAME, MX, NS o TXT de un nombre y mira si ya tienen tu cambio.
- 2.7Lector de reportes DMARCAbre un reporte agregado de DMARC (.xml, .xml.gz o .zip) y mira, por cada IP que envió, cuántos mensajes pasaron o fallaron SPF y DKIM.
- 2.8¿Está caído?Revisa si una página responde, con su estado HTTP, tiempo de respuesta, redirecciones y HTTPS, medido una vez desde nuestro servidor en Colombia.
- 2.9Generador de registro DMARCArma un registro TXT de DMARC: política, modo de prueba, correos para reportes y alineación.
- 2.10Vista previa de enlacesMira cómo se verá tu enlace en WhatsApp, X, LinkedIn o Facebook: revisa título, descripción, og:image y etiquetas de Twitter, con correcciones.
- 2.11Calculadora de subredesEscribe una IP con su prefijo y obtén la red, la máscara, el broadcast, el rango y la cantidad de hosts, y divídela en subredes iguales.
╌╌ FIN ╌╌