SPF, DKIM y DMARC: Qué Son y Cómo Configurar DMARC p=reject
Lectura 10 min · AstraLoop Studio
Puedes tener la mejor lista de prospectos y el copy de cold email más afilado del mercado. Pero si tu dominio no está autenticado correctamente, tus emails acaban en spam o son rechazados antes incluso de que alguien los lea. Desde febrero de 2024 Google y Yahoo han hecho obligatorios SPF, DKIM y DMARC para quien envía volúmenes considerables, y en 2025 Microsoft se alineó. En 2026 estos tres protocolos ya no son un detalle técnico: son la condición mínima para hacer outreach en frío sin quemar el dominio.
En esta guía te explico qué son SPF, DKIM y DMARC en español concreto, por qué hacen falta los tres, y sobre todo cómo llegar a DMARC con política p=reject, el nivel de protección que los estándares de 2026 prácticamente exigen. Nada de teoría de manual: solo lo que tienes que configurar, y en qué orden.
Por qué la autenticación de email se ha vuelto obligatoria
El problema que resuelven estos protocolos es tan viejo como el email. Cualquiera puede escribir lo que quiera en el campo "remitente". Nada, en principio, impide a un estafador enviar un correo firmado "info@tudominio.es" sin tener acceso real a tu dominio. Así funcionan el phishing y el spoofing.
SPF, DKIM y DMARC son la respuesta a ese agujero. Son tres firmas técnicas que le dicen al servidor receptor: "este email llega de verdad de quien dice que llega". Los proveedores las usan como primer filtro. Si faltan o están mal configuradas, tu mensaje arranca ya con un hándicap de reputación, por bueno que sea el contenido. Si quieres el panorama completo de qué empuja los mensajes al filtro de no deseado, hemos escrito una guía dedicada sobre por qué los emails acaban en spam.
Las reglas formales cambiaron en 2024. Para quien envía más de 5.000 emails al día a Gmail (los llamados "bulk senders"), Google y Yahoo exigen los tres protocolos activos, una tasa de spam por debajo del 0,3% y la baja con un solo clic. En la práctica del cold outreach B2B, sin embargo, donde envías decenas o cientos de emails desde un dominio, el umbral de 5.000 es casi irrelevante: sin autenticación completa la deliverability se hunde mucho antes. El tema es central en cualquier sistema de captación de clientes que se apoye en el email en frío.
SPF: quién está autorizado a enviar en tu nombre
SPF (Sender Policy Framework) es la lista de "transportistas autorizados". Es un registro de texto que publicas en el DNS de tu dominio y que declara qué servidores IP tienen permiso para enviar emails en tu nombre. Cuando un servidor receptor recibe un correo de "tudominio.es", comprueba esta lista. Si la IP que envió está dentro, el control pasa. Si no está, el correo es sospechoso.
Un registro SPF tiene este aspecto:
v=spf1 include:_spf.google.com include:sendgrid.net -all
Qué significa en la práctica:
- v=spf1: declara que es un registro SPF versión 1.
- include: autoriza a los servidores de un servicio (aquí Google Workspace y SendGrid). Cada herramienta que envía en tu nombre debe incluirse.
- -all: la parte más importante. El guion significa "rechaza todo lo demás". Es el modo "hard fail", y es el que hay que usar. La variante ~all ("soft fail") es más permisiva y solo sirve en fase de pruebas.
Dos errores típicos que te cuestan la deliverability:
- Varios registros SPF en el mismo dominio. Solo se permite uno. Si tienes dos, la autenticación falla. Hay que unificarlos en una sola línea.
- El límite de 10 lookups DNS. Cada include cuenta como una o más consultas DNS. Si superas 10, SPF entra en error "permerror" y deja de funcionar. Si usas muchos servicios, valora herramientas de "SPF flattening".
DKIM: la firma criptográfica del mensaje
SPF verifica desde dónde sale el email. DKIM (DomainKeys Identified Mail) verifica que el contenido no se ha alterado y que proviene realmente de ti. Funciona con un par de claves criptográficas: una privada, que tu servidor usa para firmar cada email saliente, y una pública, que publicas en el DNS. El servidor receptor toma la firma, la compara con la clave pública y comprueba que coinciden.
La ventaja práctica de DKIM frente a SPF es que la firma "viaja" con el email. Si un mensaje se reenvía, SPF suele romperse (cambia el servidor que lo envía), mientras que DKIM aguanta, porque la firma sigue pegada al contenido.
La configuración depende de tu proveedor. En Google Workspace se activa desde la consola de administración (sección de autenticación de email), que te genera una clave para pegar en el DNS como registro TXT. Consejos prácticos para 2026:
- Usa claves de 2048 bits, no de 1024. Son el estándar de seguridad actual.
- Cada plataforma de envío (tu Google Workspace, la herramienta de cold email, el gestor que envía facturas) tiene su propio "selector" DKIM y su clave. Hay que publicarlas todas.
- Tras la activación, espera a la propagación DNS (de unos minutos a unas horas) antes de verificar.
DMARC: la regla que lo mantiene todo unido
SPF y DKIM por sí solos no bastan, y este es el punto que casi ninguna guía explica bien. Falta una pieza: ¿qué debe hacer el servidor receptor cuando fallan los controles? ¿Y a dónde te envía los informes? Ese es el trabajo de DMARC (Domain-based Message Authentication, Reporting and Conformance).
DMARC hace dos cosas. Primero, introduce el concepto de alineación (alignment): no basta con que SPF o DKIM pasen, el dominio verificado debe coincidir con el dominio que se ve en el campo "De". Esto cierra la vía de escape de quien pasaba los controles técnicos usando un dominio distinto del que se mostraba. Segundo, te obliga a declarar una política: qué hacer con los emails que no superan la alineación.
Un registro DMARC básico:
v=DMARC1; p=none; rua=mailto:report@tudominio.es
La letra que importa es la p=. Tiene tres valores posibles, y es tu escala de severidad:
| Política | Qué pasa con los emails no alineados | Cuándo usarla |
|---|---|---|
| p=none | Ninguna acción, solo monitorización e informes | Fase inicial, para recopilar datos |
| p=quarantine | Acaban en spam / cuarentena | Transición, tras verificar los informes |
| p=reject | Rechazados y nunca entregados | Objetivo final, máxima protección |
El rua= es la dirección donde recibes los informes agregados diarios: son la radiografía de quién envía emails en tu nombre. Leerlos es el paso que te indica cuándo estás listo para subir la política.
Cómo llegar a DMARC p=reject sin romper los emails legítimos
Aquí está el punto delicado. Pasar directamente a p=reject sin preparación es la mejor manera de hacer desaparecer tus facturas, las notificaciones del gestor y las newsletters legítimas. El motivo es que a menudo algunos servicios que envían en tu nombre (el CRM, la herramienta de facturación electrónica, la plataforma de email marketing) todavía no están correctamente autenticados. Con p=reject, esos emails se rechazan sin más.
El camino correcto es gradual y pasa por tres fases. Hace falta paciencia, normalmente entre 4 y 8 semanas:
- Fase 1, monitorización (p=none). Publica el registro con p=none y la dirección rua. No bloquea nada, pero empiezas a recibir informes. Durante 2-4 semanas observas qué servicios envían en tu nombre y cuáles fallan la alineación. Casi siempre descubres remitentes legítimos que habías olvidado.
- Fase 2, cuarentena parcial (p=quarantine con pct). Cuando los informes muestran que tus remitentes legítimos pasan, subes a p=quarantine. Puedes empezar con pct=25 (aplica la regla solo al 25% de los emails) y subir gradualmente hasta el 100%. Sigues monitorizando los informes.
- Fase 3, rechazo (p=reject). Cuando durante unas semanas los informes están limpios y todos los remitentes legítimos resultan alineados, pasas a p=reject. Ahora tu dominio está blindado: nadie puede suplantarlo con éxito, y los proveedores te tratan como remitente de confianza.
El registro final, ya en régimen, tendrá este aspecto:
v=DMARC1; p=reject; rua=mailto:report@tudominio.es; adkim=s; aspf=s
Los parámetros adkim=s y aspf=s imponen la alineación "strict", la más rigurosa. Son opcionales, pero recomendados una vez que estás estable en reject.
Autenticación y warmup: dos cosas distintas que trabajan juntas
Un malentendido frecuente: autenticar el dominio no basta para garantizar que tus emails en frío lleguen a la bandeja de entrada. SPF, DKIM y DMARC son la condición necesaria, no suficiente. Son el documento de identidad de tu dominio. Pero un dominio recién creado, aunque esté perfectamente autenticado, todavía no tiene reputación.
Aquí entra el warmup: el proceso de calentamiento con el que aumentas gradualmente los volúmenes de envío en las primeras semanas, para que los proveedores aprendan a confiar en ti. Autenticación y warmup son dos patas de la misma mesa. Si falta una, la campaña cojea. Y junto a ellas hay que tener en cuenta las métricas que deben cumplir los bulk senders: spam por debajo del 0,3%, bounce por debajo del 2%, y la baja con un clic siempre presente.
Para quien monta cold outreach en serio, la deliverability técnica hay que decidirla antes incluso de escribir el primer email. Si estás valorando las herramientas, hemos comparado las opciones en la guía a los mejores software de cold email 2026. Y si te preguntas si apostar por email o por redes sociales, vale la pena leer la comparativa entre cold email y LinkedIn.
¿Quieres arrancar con el cold outreach pero no estás seguro de que el dominio y la autenticación estén configurados para llegar a la bandeja de entrada? Cuéntanoslo: verificamos el SPF, DKIM y DMARC de tu dominio antes de que gastes presupuesto en campañas que acaban en spam.
Errores comunes que echan por tierra todo el trabajo
Incluso quien configura los tres protocolos suele tropezar con detalles que anulan el beneficio:
- Configurar SPF/DKIM pero dejar DMARC en p=none para siempre. La monitorización solo es útil si después subes la política. Quedarse en p=none significa no tener protección real: cualquiera puede seguir suplantándote.
- Olvidar un remitente legítimo antes de p=reject. El clásico: el gestor que envía facturas desde un subservicio no autenticado. Con reject activo, esas facturas desaparecen. Los informes DMARC sirven precisamente para evitarlo.
- Usar ~all en lugar de -all en SPF. El soft-fail es un punto intermedio que los proveedores tratan con sospecha. En producción hay que usar el hard-fail -all.
- No alinear el dominio "From". Si envías el cold outreach desde un dominio secundario (buena práctica, para no arriesgar el dominio principal), ese dominio hay que autenticarlo por su cuenta. SPF, DKIM y DMARC deben replicarse en cada dominio de envío.
- Ignorar el TTL del DNS. Tras cada cambio, las propagaciones tardan un tiempo. No verifiques en caliente: espera y luego comprueba con alguna de las muchas herramientas gratuitas de verificación DMARC.
Dónde encaja la autenticación en tu máquina de captación
Vale la pena situar todo esto en su contexto. La autenticación de email es un engranaje dentro de un mecanismo más grande. Por sí sola no trae clientes: hace posible que el outreach en frío llegue de verdad a las personas correctas. Es el fundamento técnico sobre el que se apoyan las secuencias de prospección, el seguimiento automatizado y el trabajo de los setters.
Un error que vemos a menudo en las pymes es invertir en la lista de prospectos y en los copys, saltándose por completo la parte técnica. El resultado es una campaña que arranca con el freno de mano puesto: la mitad de los emails no llega, y nadie entiende por qué las tasas de respuesta son tan bajas. La deliverability técnica es invisible mientras no falta, y cuando falta sabotea todo lo demás aguas arriba. Por eso la tratamos como primer pilar en cualquier proyecto de lead generation B2B y como parte integral de un sistema de captación estructurado, no como un opcional que se configura al final del proyecto.
Si además quieres entender cómo medir que todo esto funciona de verdad en términos de coste por contacto y retorno, el panorama económico lo encuentras en la guía a las métricas de adquisición (CAC, CPL, LTV).
En resumen: la checklist
- SPF: un solo registro, con -all, por debajo de 10 lookups, con todos los servicios que envían en tu nombre incluidos.
- DKIM: clave de 2048 bits activa en cada plataforma de envío.
- DMARC: empieza con p=none, lee los informes, pasa a p=quarantine con pct creciente, llega a p=reject.
- Métricas 2026: spam por debajo del 0,3%, bounce por debajo del 2%, baja con un clic.
- No olvides: autenticación más warmup, y un dominio dedicado para el outreach en frío.
No es un trabajo difícil, pero está hecho de detalles, donde un solo error echa por tierra todo lo demás. Bien configurado una vez, sin embargo, protege tu dominio para siempre y sienta las bases de un outreach que realmente llega a su destino.
Preguntas frecuentes
¿Cuál es la diferencia entre SPF, DKIM y DMARC?
SPF declara qué servidores están autorizados a enviar en nombre de tu dominio. DKIM añade una firma criptográfica que garantiza que el contenido no se ha alterado. DMARC combina ambos, verifica la alineación con el dominio que se muestra y decide qué hacer con los emails que fallan los controles. Hacen falta los tres: por separado no bastan.
¿Qué significa DMARC p=reject?
Es la política DMARC más protectora: los emails que no superan la autenticación y la alineación son rechazados y nunca se entregan. Es el objetivo a alcanzar para blindar el dominio contra el spoofing y obtener la máxima confianza de los proveedores. Debe alcanzarse gradualmente, empezando por p=none y pasando por p=quarantine.
¿Puedo configurar DMARC directamente en p=reject?
Mejor que no. Pasar directamente a reject arriesga a que se rechacen emails legítimos de servicios todavía no autenticados (facturación, CRM, newsletters). El camino correcto es gradual: p=none para monitorizar los informes, luego p=quarantine con pct creciente, y finalmente p=reject cuando los informes están limpios. Normalmente hacen falta de 4 a 8 semanas.
¿Bastan SPF, DKIM y DMARC para no acabar en spam?
Son la condición necesaria, no suficiente. Son el documento de identidad del dominio, pero un dominio nuevo también debe construir reputación mediante el warmup, es decir, el aumento gradual de los volúmenes. Autenticación y warmup trabajan juntos: sin uno de los dos, la deliverability cojea.
¿Cuáles son las nuevas reglas de Google y Yahoo para los envíos masivos?
Desde febrero de 2024, quien envía más de 5.000 emails al día a Gmail debe tener SPF, DKIM y DMARC activos, una tasa de spam por debajo del 0,3%, una tasa de rebote baja y la baja con un solo clic. Microsoft se alineó en 2025. En la práctica del cold outreach estas reglas hay que respetarlas mucho antes de llegar al umbral de 5.000.
¿Debo usar un dominio dedicado para el cold outreach?
Es una buena práctica. Enviar las campañas en frío desde un dominio secundario protege la reputación del dominio principal (el de los emails transaccionales y comerciales). Sin embargo, el dominio dedicado hay que autenticarlo por su cuenta: SPF, DKIM y DMARC deben replicarse en cada dominio de envío.
Si prefieres no tocar el DNS a mano y quieres que toda la infraestructura de envío (autenticación, warmup y monitorización) quede impecable, pídenos un análisis de tu deliverability: nosotros lo dejamos a punto.