Verificador de SPF, DKIM y DMARC
Compruebe la autenticación del correo de un dominio: registros SPF, DKIM y DMARC, con soluciones para lo que falta
Resultado
Introduzca un dominio para comprobar su autenticación de correo.
SPF
Qué servidores pueden enviar correo en nombre del dominio.
DKIM
Firmas que demuestran que un mensaje no se alteró.
DMARC
Qué hacen los receptores con el correo que no supera las comprobaciones.
Acerca del Verificador de SPF, DKIM y DMARC
Este verificador lee los tres registros que determinan si el correo de un dominio es confiable: SPF, DKIM y DMARC. Un dominio, una comprobación, las tres respuestas, cada una con un resultado correcto, una advertencia o un fallo y el motivo explicado con palabras sencillas.
Detecta los errores que envían silenciosamente el correo a spam: un registro SPF que supera el límite de 10 consultas, un segundo registro SPF, una clave DKIM de 1024 bits o una política DMARC que no bloquea nada.
Cuando falta DMARC, obtiene un registro inicial para copiar, y el proveedor de correo del dominio se reconoce a partir de sus servidores de correo.
Características principales
- Los tres de una sola vez: SPF, DKIM y DMARC se comprueban juntos, con una puntuación global.
- Recuento de consultas SPF: se siguen los mecanismos include para contar cada consulta DNS respecto al límite de 10, el fallo oculto más común de SPF.
- DKIM sin conocer el selector: se prueban los nombres que usan los principales servicios de correo; también puede introducir el suyo.
- Fortaleza de la clave: se muestra la longitud de cada clave DKIM, con una advertencia para las claves de menos de 2048 bits.
- Revisión de la política DMARC: se explican la política, la cobertura y la dirección de informes, con un registro sugerido cuando no existe ninguno.
- Proveedor de correo: Google Workspace, Microsoft 365, Zoho y otros se reconocen a partir de los servidores de correo.
Cómo usar
- Introduzca un dominio: la parte que aparece después de @ en la dirección de correo, como example.com.
- Añada un selector si lo conoce: es opcional; es el valor s= del encabezado DKIM-Signature de un mensaje enviado.
- Pulse Comprobar: los tres registros se leen en pocos segundos.
- Lea cada tarjeta: verde significa correcto; ámbar, que necesita atención; rojo, que está mal configurado o falta.
- Corrija y vuelva a comprobar: copie un registro sugerido en su DNS, espere a que se publique y ejecute de nuevo la comprobación.
Casos de uso habituales
- Correo que llega a spam: encuentre el registro ausente o mal configurado que lo causa.
- Reglas para remitentes masivos: confirme que SPF, DKIM y DMARC estén configurados antes de enviar a grandes proveedores de correo.
- Después de cambiar de proveedor de correo: asegúrese de eliminar el proveedor anterior de SPF y de que el nuevo firme con DKIM.
- Protección contra la suplantación: vea si alguien podría enviar correo falso convincente en nombre de su dominio.
- Auditorías de clientes y proveedores: compruebe el dominio de un socio antes de confiar en correos que afirman proceder de él.
Preguntas frecuentes
¿Qué hacen SPF, DKIM y DMARC?
SPF enumera los servidores autorizados para enviar correo en nombre de un dominio. DKIM añade una firma que demuestra que un mensaje no se modificó. DMARC indica a los receptores qué hacer cuando un mensaje no supera esas comprobaciones y dónde enviar los informes.
¿Por qué falla SPF con demasiadas consultas?
Los receptores se detienen tras 10 consultas DNS al leer un registro SPF y sus mecanismos include. Cada include, a y mx cuenta, y los include anidados también. Si se supera el límite, SPF falla para todos los mensajes.
¿Por qué no se encuentra ninguna clave DKIM?
Las claves DKIM se alojan bajo un nombre de selector elegido por el servicio de correo. Si el suyo no es uno de los nombres habituales, abra los encabezados de un mensaje que haya enviado e introduzca el valor s= de la línea DKIM-Signature.
¿Qué política DMARC debería usar?
Empiece con p=none y una dirección de informes, lea los informes durante unas semanas y luego pase a quarantine y finalmente a reject cuando todos sus remitentes legítimos superen las comprobaciones.
¿Cuánto tardan en reflejarse los cambios de DNS?
Normalmente minutos, a veces hasta unas horas según el tiempo de vida del registro. Ejecute de nuevo la comprobación cuando se haya publicado el cambio.
¿Un resultado correcto garantiza que mi correo llegue a la bandeja de entrada?
No. Estos registros demuestran quién envió un mensaje; el contenido, la reputación de envío y las tasas de quejas siguen determinando dónde termina.
Consejos útiles
- Mantenga un solo registro SPF: combine todos los remitentes en un único registro en lugar de añadir un segundo.
- Elimine los remitentes antiguos: los include de servicios que ya no usa desperdician consultas y amplían quién puede enviar en su nombre.
- Rote las claves DKIM: sustituya las claves cada año y elimine los selectores antiguos cuando ya no se firme nada con ellos.
- Lea los informes DMARC: muestran todos los servicios que envían en nombre de su dominio, incluidos los que había olvidado.
- Proteja los dominios sin uso: los dominios que no envían correo deberían publicar v=spf1 -all y una política DMARC reject.