Comprobador de Autenticación Email: SPF, DKIM, DMARC, BIMI, MTA-STS

Q: ¿Qué son SPF, DKIM y DMARC?

SPF (Sender Policy Framework) lista qué direcciones IP están autorizadas para enviar email desde tu dominio. DKIM (DomainKeys Identified Mail) añade una firma criptográfica a tus emails para que los destinatarios puedan verificar que no han sido alterados. DMARC (Domain-based Message Authentication, Reporting & Conformance) une SPF y DKIM con una política que dice a los receptores qué hacer cuando falla la autenticación: rechazar, poner en cuarentena o monitorizar.

Q: ¿Cómo verifico mi registro SPF?

Introduce tu nombre de dominio en el comprobador de arriba y haz clic en "Verificar registros". La herramienta busca el registro TXT en tu dominio, verifica que empiece por v=spf1, detecta problemas comunes como +all o la ausencia de ~all, y cuenta las consultas DNS para asegurar que estás bajo el límite de 10 consultas.

Q: ¿Cómo verifico mi registro DKIM?

Los registros DKIM se almacenan en ._domainkey. . Introduce tu dominio y el selector DKIM (por defecto "default") en el comprobador. La herramienta buscará el registro TXT y verificará que contiene una clave pública válida (p=). Si no conoces tu selector, consulta la documentación de tu proveedor de email — selectores comunes incluyen default, google, selector1, selector2, s1, s2 y k1.

Q: ¿Cómo verifico mi registro DMARC?

Los registros DMARC se almacenan en _dmarc. . Introduce tu dominio en el comprobador y la herramienta buscará el registro TXT, verificará que empiece por v=DMARC1, comprobará la política (p=none, p=quarantine o p=reject), y confirmará que el reporte agregado (rua=) está configurado.

La autenticación email es la base de la entregabilidad. Sin registros SPF, DKIM y DMARC correctamente configurados, tus emails son mucho más propensos a terminar en la carpeta de spam o ser rechazados directamente. Grandes proveedores como Gmail, Outlook y Yahoo ahora exigen SPF y DKIM para remitentes masivos, y DMARC es cada vez más obligatorio.

MailCannon.PRO proporciona un Comprobador de Autenticación Emailgratuito que consulta los cinco registros DNS críticos en paralelo — SPF, DKIM, DMARC, BIMI y MTA-STS — y te da resultados de validación instantáneos con recomendaciones específicas de corrección para cada registro.

Registros Que Verificamos

El Comprobador de Autenticación Email valida cinco registros de autenticación basados en DNS:

Registro	Consulta DNS	Propósito	Gravedad si Falta
SPF	`dominio.com`	IPs de envío autorizadas	Crítico
DKIM	`selector._domainkey.dominio.com`	Firma criptográfica de email	Crítico
DMARC	`_dmarc.dominio.com`	Política de autenticación & reporting	Crítico
BIMI	`default._bimi.dominio.com`	Logo de marca en bandeja de entrada	Opcional
MTA-STS	`_mta-sts.dominio.com`	Aplicación TLS para entrante	Opcional

Cómo Funciona

Introduce tu dominio — Escribe cualquier nombre de dominio (ej. ejemplo.com) y opcionalmente especifica un selector DKIM (por defecto "default").
Consultas DNS en paralelo — La herramienta consulta registros TXT para los cinco protocolos de autenticación simultáneamente.
Validar y puntuar — Cada registro se valida por sintaxis, problemas comunes y mejores prácticas con niveles de severidad (Crítico, Advertencia, Info).
Corregir con guía — Obtén recomendaciones específicas para cada registro faltante o mal configurado con ejemplos de registros DNS que puedes copiar.

Qué Valida el Comprobador

Validación SPF

El registro existe y empieza con v=spf1
No hay +all (permite a cualquiera enviar) ni ?all (neutro/sin protección)
Termina con ~all (softfail) o -all (fail)
Conteo de consultas DNS bajo el límite de 10 (RFC 7208)
Detecta registros SPF múltiples (deben fusionarse en uno)

Búsqueda DKIM

Consulta cualquier selector DKIM (default, google, selector1, selector2, s1, s2, k1, o personalizado)
Verifica que el registro contiene v=DKIM1 o componentes de clave válidos
Comprueba que la clave pública está presente y no vacía (p= no vacío)
Detecta claves revocadas (p= vacío)
Reporta registros DKIM múltiples para el mismo selector

Comprobación de Política DMARC

El registro existe y empieza con v=DMARC1
Etiqueta de política presente (p=none, p=quarantine, p=reject)
Advertencias para p=none (solo monitorizar — sube cuando estés listo)
Verifica rua= (reportes agregados) y ruf= (reportes forenses)
Valida porcentaje pct= (debería ser 100% para aplicación completa)
Detecta registros DMARC múltiples

Preparación BIMI

Verifica registro v=BIMI1 en default._bimi
Valida que la URL del logo está presente (l=https://)
Guía sobre requisitos VMC para Gmail y otros grandes proveedores
Nota que SPF, DKIM y DMARC deben estar alineados primero

Aplicación MTA-STS

Verifica registro v=STSv1 en _mta-sts
Valida que el campo id= está presente (identificador único, ej. timestamp)
Guía sobre publicación del archivo de política en https://mta-sts.dominio.com/.well-known/mta-sts.txt
Recomienda empezar con mode=testing y luego cambiar a mode=enforce

Por Qué Importa la Autenticación Email

La autenticación email es un conjunto de protocolos basados en DNS que permiten a los servidores de correo receptores verificar que un email proviene genuinamente del dominio que dice ser. Los tres protocolos principales — SPF, DKIM y DMARC — trabajan juntos para prevenir spoofing, phishing y suplantación de identidad.

Sin autenticación, tus emails son mucho más propensos a terminar en spam o ser rechazados. Grandes proveedores como Gmail, Outlook y Yahoo ahora exigen SPF y DKIM para remitentes masivos, y DMARC es cada vez más obligatorio. BIMI y MTA-STS añaden visibilidad de marca y seguridad a nivel de transporte respectivamente.

Cómo Corregir Registros Faltantes

🌐SPF: Añade un registro TXT: v=spf1 include:_spf.google.com ~all. Lista todos tus proveedores de envío y termina con ~all o -all.
🔑DKIM: Activa la firma DKIM en tu proveedor de email, luego publica la clave pública como TXT en selector._domainkey.tudominio.com.
🛡️DMARC: Añade un registro TXT en _dmarc.tudominio.com: v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com. Empieza con p=none, luego sube a p=quarantine.
📧BIMI: Una vez SPF, DKIM y DMARC alineados, añade v=BIMI1; l=https://tudominio.com/logo.svg en default._bimi.tudominio.com.
🔒MTA-STS: Añade v=STSv1; id=20260901 en _mta-sts.tudominio.com y publica un archivo de política en mta-sts.tudominio.com.

Comprobador de Autenticación vs Otras Herramientas

Comprobador de Autenticación

Verifica registros DNS para SPF, DKIM, DMARC, BIMI y MTA-STS. Valida sintaxis, configuración y mejores prácticas. Es una verificación a nivel de infraestructura.

Email Deliverability Checker

Analiza tu contenido y configuración de email antes de enviar — info del remitente, autenticación, HTML, enlaces, imágenes, señales de contenido. Ver el Email Deliverability Checker.

Email Spam Checker

Analiza tu contenido de email para señales que pueden disparar filtrado. Es una verificación a nivel de contenido. Ver el Email Spam Checker.

Email Blacklist Checker

Verifica bases de datos DNSBL externas para ver si tu IP o dominio ya ha sido marcado. Ver el Email Blacklist Checker.

Usa las cuatro juntas para una imagen completa de entregabilidad.

Problemas SPF Comunes y Soluciones

Registros SPF múltiples: Fusiona en uno: v=spf1 include:_spf.google.com include:spf.sendgrid.net ~all
Usa +all: Reemplaza con ~all (softfail) o -all (fail) inmediatamente
Usa ?all: No da protección. Reemplaza con ~all o -all
Falta ~all/-all: Añade ~all al final de tu registro SPF
Más de 10 consultas DNS: Consolida mecanismos include: o usa rangos IP directamente

Problemas DKIM Comunes y Soluciones

No se encuentra registro DKIM: Activa DKIM en tu proveedor de email y publica la clave pública en el selector correcto
Selector incorrecto: Verifica el nombre del selector con tu proveedor (comunes: default, google, selector1, selector2, s1, s2, k1)
Clave pública vacía (p=): La clave ha sido revocada. Regenera y republica la clave DKIM
Desajuste de clave: La clave pública DNS no coincide con la clave privada usada para firmar. Republica la clave correcta

Problemas DMARC Comunes y Soluciones

Sin registro DMARC: Añade v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com
p=none (solo monitorizar): Sube a p=quarantine luego p=reject tras revisar reportes
Falta rua (reportes): Añade rua=mailto:dmarc@tudominio.com para recibir reportes agregados
Registros DMARC múltiples: Elimina duplicados — solo un registro permitido en _dmarc
pct < 100: Sube a <pct=100 una vez confíes en tu autenticación

Ecosistema de Herramientas Email de MailCannon

El Comprobador de Autenticación Email es parte de un conjunto más amplio de herramientas email de MailCannon diseñadas para ayudarte a crear, probar y optimizar tus emails:

Email Deliverability Checker — Prueba emails antes de enviar.
Email Blacklist Checker — Verifica listings DNSBL para tu dominio o IP.
Email Spam Checker — Verifica contenido para señales de riesgo spam.
Email Bounce Analyzer — Analiza mensajes de rebote SMTP.
Email Subject Line Tester — Analiza y mejora tus líneas de asunto.
HTML Email Previewer — Previsualiza renderizado email en desktop y móvil.
Email Size Checker — Verifica tamaño y estructura de archivo email.
Email Address Checker — Verifica si una dirección email existe.

Preguntas Frecuentes

¿Qué son SPF, DKIM y DMARC?

SPF (Sender Policy Framework) lista qué direcciones IP están autorizadas para enviar email desde tu dominio. DKIM (DomainKeys Identified Mail) añade una firma criptográfica a tus emails para que los destinatarios puedan verificar que no han sido alterados. DMARC (Domain-based Message Authentication, Reporting & Conformance) une SPF y DKIM con una política que dice a los receptores qué hacer cuando falla la autenticación: rechazar, poner en cuarentena o monitorizar.

¿Cómo verifico mi registro SPF?

Introduce tu nombre de dominio en el comprobador de arriba y haz clic en "Verificar registros". La herramienta busca el registro TXT en tu dominio, verifica que empiece por v=spf1, detecta problemas comunes como +all o la ausencia de ~all, y cuenta las consultas DNS para asegurar que estás bajo el límite de 10 consultas.

¿Cómo verifico mi registro DKIM?

Los registros DKIM se almacenan en <selector>._domainkey.<tu-dominio>. Introduce tu dominio y el selector DKIM (por defecto "default") en el comprobador. La herramienta buscará el registro TXT y verificará que contiene una clave pública válida (p=). Si no conoces tu selector, consulta la documentación de tu proveedor de email — selectores comunes incluyen default, google, selector1, selector2, s1, s2 y k1.

¿Cómo verifico mi registro DMARC?

Los registros DMARC se almacenan en <_dmarc.<tu-dominio>. Introduce tu dominio en el comprobador y la herramienta buscará el registro TXT, verificará que empiece por v=DMARC1, comprobará la política (p=none, p=quarantine o p=reject), y confirmará que el reporte agregado (rua=) está configurado.

¿Qué pasa si falta SPF, DKIM o DMARC?

Sin SPF, los receptores no pueden verificar que tus IPs de envío están autorizadas, facilitando el spoofing de tu dominio. Sin DKIM, los emails no pueden ser verificados criptográficamente. Sin DMARC, los receptores no tienen instrucciones para manejar fallos de autenticación. La falta de cualquiera de estos registros aumenta significativamente la probabilidad de que tus emails sean rechazados o vayan a spam.

¿Qué es BIMI y lo necesito?

BIMI (Brand Indicators for Message Identification) muestra tu logo de marca junto a tus emails en bandejas de entrada soportadas (como Gmail). Requiere que SPF, DKIM y DMARC estén correctamente configurados primero. BIMI es opcional pero mejora el reconocimiento de marca y la confianza. Para Gmail, también necesitas un VMC (Verified Mark Certificate).

¿Qué es MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security) exige cifrado TLS para email entrante a tu dominio, previniendo ataques de degradación donde el email es interceptado y enviado por conexiones no cifradas. Funciona junto con TLS-RPT para reportar fallos de conexión TLS.

¿Es gratis el comprobador de autenticación email?

Sí. El comprobador de autenticación email de MailCannon es completamente gratis. No necesitas crear una cuenta ni registrarte. Simplemente introduce un dominio y haz clic en verificar. Límites de tasa aplican para prevenir abuso.

¿Cuál es la diferencia entre p=none, p=quarantine y p=reject en DMARC?

p=none significa solo monitorizar — no se toma acción en autenticación fallida, pero recibes reportes. p=quarantine significa que emails fallidos van a la carpeta de spam. p=reject significa que emails fallidos son rechazados directamente. Empieza con p=none, revisa los reportes, luego sube a p=quarantine y eventualmente p=reject para máxima protección.

¿Con qué frecuencia debo verificar mis registros de autenticación email?

Verifica tus registros de autenticación cada vez que cambies de proveedor de email, añadas nuevos servicios de envío, o modifiques DNS. Para seguridad continua, verifica al menos una vez al mes para asegurar que los registros no han sido eliminados o modificados accidentalmente. Si notas caídas de entregabilidad, verifica inmediatamente.

Conclusión

La autenticación email es la base de la entregabilidad email. SPF autoriza tus servidores de envío, DKIM firma criptográficamente tus mensajes, y DMARC los une con política y reporting. BIMI añade visibilidad de marca, y MTA-STS exige seguridad de transporte.

El Comprobador de Autenticación Email de MailCannon te da una forma gratis e instantánea de verificar los cinco registros para cualquier dominio, con recomendaciones específicas de corrección para cada uno. Combínalo con el Email Deliverability Checker para análisis pre-envío, el Email Spam Checker para revisión de contenido, y el Email Blacklist Checker para monitorización de reputación. Para más sobre autenticación, lee nuestra guía sobre SPF, DKIM y DMARC Explicados y Cómo Mejorar la Entregabilidad Email.