Cómo configurar SPF, DKIM y DMARC para que tus correos no caigan en spam

Cada correo que enviás a un cliente —confirmación de compra, aviso de envío, recupero de carrito— tiene que llegar. No a la carpeta de spam, no a promociones: a la bandeja de entrada. Cuando eso falla, el cliente asume que su pedido está perdido, abre un reclamo o simplemente no vuelve a comprar. El problema casi siempre tiene una causa técnica concreta: la ausencia o mala configuración de SPF, DKIM y DMARC en tu dominio.

Estos tres protocolos son el estándar actual de autenticación de correo. Sin ellos, los servidores de destino no tienen forma de verificar que el mensaje realmente salió de tu dominio, y lo tratan como sospechoso. Configurarlos bien no es opcional si operás una tienda online con volumen real de comunicaciones.

Por qué el spam destruye más que la reputación

El impacto de que tus correos caigan en spam va mucho más allá de una métrica de apertura baja. Cada correo que no llega es una oportunidad de conversión que desaparece sin dejar rastro. No hay rebote, no hay notificación: simplemente el cliente no lo ve y vos no sabés por qué.

El e-commerce en Latinoamérica proyecta superar los US$ 769 mil millones en 2025, y en México el canal online ya superó los $789.7 mil millones de pesos en 2023. En ese volumen de transacciones, la comunicación postventa es uno de los pocos momentos donde tenés atención directa del comprador. Perderla por un problema de DNS es un costo operativo real, aunque invisible en los reportes.

Además, los filtros de spam modernos no solo afectan el correo que enviás hoy: construyen un historial de reputación de tu dominio. Un dominio con baja entregabilidad acumulada es cada vez más difícil de rehabilitar.

Qué necesitás antes de empezar

La configuración de SPF, DKIM y DMARC se hace a nivel DNS, no dentro de tu plataforma de e-commerce ni de tu proveedor de correo. Antes de tocar cualquier registro, verificá que tenés:

• Acceso administrativo al panel de tu registrador de dominio (GoDaddy, Namecheap, Hostinger, o quien gestione tu zona DNS).
• Claridad sobre qué servidores envían correo desde tu dominio: tu hosting, tu ESP (Mailchimp, Klaviyo, SendGrid, etc.), tu plataforma de e-commerce o cualquier combinación de ellos.
• Una dirección de correo activa donde recibir los reportes DMARC, preferentemente una casilla dedicada a ese fin.

No empieces sin tener los tres. El error más frecuente es configurar SPF sin saber exactamente qué servidores usás, lo que genera un registro incompleto que sigue fallando.

Configuración paso a paso de SPF, DKIM y DMARC

Paso 1: Configurá el registro SPF

SPF (Sender Policy Framework) le dice a los servidores receptores qué IPs o dominios están autorizados a enviar correo en nombre de tu dominio. Si un mensaje llega desde un servidor que no está en tu lista SPF, el receptor lo trata como no autorizado.

Ingresá al panel DNS de tu dominio y creá un registro de tipo TXT con el siguiente formato base:

v=spf1 include:spf.tuproveedordecorreo.com -all

Reemplazá spf.tuproveedordecorreo.com con el valor que te indique tu proveedor de correo. Si usás más de un servicio para enviar (por ejemplo, tu hosting para correos transaccionales y Mailchimp para newsletters), necesitás incluir ambos en el mismo registro:

v=spf1 include:spf.hosting.com include:servers.mcsv.net -all

Importante: solo puede existir un registro SPF por dominio. Si ya tenés uno, editalo en lugar de crear uno nuevo. Dos registros SPF en el mismo dominio se anulan mutuamente.

Paso 2: Configurá DKIM

DKIM (DomainKeys Identified Mail) agrega una firma criptográfica a cada correo que enviás. El servidor receptor verifica esa firma contra una clave pública publicada en tu DNS. Si coinciden, el mensaje es auténtico. Si no, es sospechoso.

El proceso tiene dos partes:

1. Generá las claves DKIM desde tu proveedor de correo. La mayoría de los ESPs (SendGrid, Google Workspace, Mailchimp, etc.) tienen una sección de autenticación donde generan automáticamente el par de claves y te dan el valor exacto que tenés que publicar en DNS.
2. Publicá la clave pública en tu DNS. Creá un registro TXT con el nombre que te indique tu proveedor (generalmente tiene el formato selector._domainkey.tudominio.com) y pegá el valor de la clave pública en el campo de contenido.

El «selector» es simplemente un identificador que permite tener múltiples claves DKIM activas para distintos servicios. No lo cambies: usá el que te asigna tu proveedor.

Paso 3: Implementá DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) es la política que define qué debe hacer el servidor receptor cuando un correo falla la verificación SPF o DKIM. También es el mecanismo que te envía reportes sobre quién está enviando correo desde tu dominio.

Creá un registro TXT con el nombre _dmarc.tudominio.com y el siguiente contenido como punto de partida:

v=DMARC1; p=none; rua=mailto:reportes@tudominio.com; ruf=mailto:reportes@tudominio.com; pct=100

El parámetro p=none significa que por ahora solo vas a monitorear sin rechazar ni poner en cuarentena los correos que fallen. Es la configuración correcta para empezar: primero analizás los reportes durante 2 o 4 semanas para entender qué está pasando, y después escalás la política.

Las tres opciones disponibles para p son:

• none: solo monitoreo, sin acción sobre los mensajes que fallan.
• quarantine: los mensajes que fallan van a spam o cuarentena.
• reject: los mensajes que fallan son rechazados directamente.

No saltes directo a p=reject sin haber analizado los reportes primero. Si tenés un servidor legítimo que no está en tu SPF, rechazarías correos válidos sin saberlo.

Cómo verificar que la configuración quedó bien

Una vez que publicaste los registros, los cambios DNS pueden tardar entre unos minutos y 48 horas en propagarse, aunque en la mayoría de los casos es cuestión de minutos. Mientras esperás, podés verificar el estado con estas herramientas:

• MXToolbox (mxtoolbox.com): revisá SPF, DKIM y DMARC por separado. Te muestra errores de sintaxis y advertencias de configuración.
• Mail Tester (mail-tester.com): enviá un correo de prueba a la dirección que te genera y obtenés un puntaje de entregabilidad con detalle de cada protocolo.
• Google Admin Toolbox: útil si usás Google Workspace, permite verificar los registros directamente desde el ecosistema de Google.

Checklist de verificación antes de dar por cerrada la configuración:

• ☑ El registro SPF existe como TXT y no hay duplicados.
• ☑ El registro DKIM está publicado con el selector correcto.
• ☑ El registro DMARC apunta a una casilla de correo activa.
• ☑ MXToolbox no muestra errores críticos en ninguno de los tres.
• ☑ Mail Tester devuelve un puntaje de 8/10 o superior.

Qué revisar si algo falla

La configuración de DNS tiene margen para errores pequeños que generan problemas grandes. Estos son los más frecuentes:

• Registro SPF duplicado: si ya existía un registro SPF y creaste uno nuevo en lugar de editarlo, ambos coexisten y el protocolo falla. Eliminá uno y consolidá todo en un solo registro.
• Espacios o caracteres extra en el valor del registro: algunos paneles de DNS agregan comillas o espacios al pegar el valor. Revisá el contenido exacto del registro después de guardarlo.
• Selector DKIM incorrecto: si el nombre del registro TXT no coincide exactamente con el selector que configuraste en tu ESP, la verificación falla. Copiá el nombre del registro directamente desde el panel de tu proveedor de correo.
• No recibís reportes DMARC: verificá que la casilla configurada en rua= existe y tiene espacio disponible. Algunos proveedores de correo filtran estos reportes como spam.
• Los cambios no se propagan: si verificás inmediatamente después de guardar y no ves el registro, esperá al menos 15 minutos y volvé a consultar. Si después de 2 horas sigue sin aparecer, revisá si guardaste correctamente en el panel DNS.

Después de la configuración: monitoreo continuo

Configurar SPF, DKIM y DMARC una sola vez no es suficiente. La entregabilidad es un estado que se mantiene, no un problema que se resuelve una vez.

¿Qué pasa si contratás un nuevo servicio de email marketing y no lo agregás al SPF? Todos los correos que salgan desde ese servicio van a fallar la autenticación. ¿Qué pasa si tu ESP rota sus claves DKIM y no actualizás el registro? Lo mismo.

Revisá los reportes DMARC al menos una vez por mes. Con el tiempo, cuando los reportes muestren que todo el correo legítimo está pasando correctamente, podés escalar la política de p=none a p=quarantine y eventualmente a p=reject para protección máxima contra suplantación de identidad de tu dominio.

Si además operás una tienda en WooCommerce y vendés en Mercado Libre, el mismo principio de automatización y control aplica a la gestión de tu catálogo y stock. El plugin para sincronizar WooCommerce con Mercado Libre de WooSync mantiene tus publicaciones, precios y stock actualizados entre ambas plataformas sin intervención manual, con la misma lógica de configurar bien una vez y dejar que el sistema trabaje.

La infraestructura técnica de tu tienda —DNS, autenticación de correo, sincronización de inventario— no es glamorosa. Pero es lo que determina si tu operación funciona o genera fricción constante. Configurá SPF, DKIM y DMARC hoy, verificá con las herramientas mencionadas, y activá el monitoreo. Después, ocupate de vender.

Si querés cerrar también la brecha entre tu tienda WooCommerce y Mercado Libre, conocé el plugin de sincronización WooCommerce y Mercado Libre de WooSync y evaluá si se ajusta a tu operación.