Entregabilidad de email: SPF, DKIM y DMARC

¿Sabes cuántos emails no llegan a bandeja de entrada? Entre 10% y 30%, según la industria. Y la culpa no es de tu contenido; es de tu autenticación de email. Sin SPF, DKIM y DMARC, los proveedores de email (Gmail, Outlook, Yahoo) clasifican tus mensajes como spam o directamente los rechazan.

Desde enero de 2024, Google y Yahoo exigen autenticación SPF y DKIM para cualquiera que envíe más de 5,000 emails por día. En 2026, es obligatorio incluso para volúmenes menores. Si no lo tienes configurado, tus emails desaparecerán en el spam.

La buena noticia: configurar SPF, DKIM y DMARC toma 20-30 minutos y multiplica tu entregabilidad. Esta guía te muestra cómo hacerlo.

Qué es la entregabilidad de email

Entregabilidad significa que tu email llega a la bandeja de entrada del destinatario (no spam, no rechazado, no bloqueado).

No es lo mismo que "enviar". Puedes enviar 10,000 emails hoy; pero si el 50% termina en spam, tu entregabilidad es del 50%.

Los factores clave que impactan entregabilidad:

• Autenticación (SPF, DKIM, DMARC) — lo más importante
• Reputación del dominio (cuántos emails se marcan como spam)
• Contenido (palabras trigger de spam, enlaces sospechosos)
• Lista limpia (no envías a direcciones inválidas)
• Tasa de rechazo (bounce rate)

Si configuras SPF, DKIM y DMARC, ganarás 15-25 puntos en entregabilidad automáticamente.

SPF, DKIM y DMARC explicados

SPF (Sender Policy Framework)

Qué es: Un registro DNS que le dice a Gmail, Outlook, etc.: "Estos servidores de mail están autorizados a enviar emails desde mi dominio."

Por qué importa: Sin SPF, cualquiera puede falsificar emails desde tu dominio. Los spammers lo saben, así que envían spam falso con tu dirección. Gmail ve que no está autorizado y lo marca como spam.

Ejemplo simple:

v=spf1 include:sendgrid.net include:mailchimp.com ~all

Traducción: "SPF versión 1. Autorizo a SendGrid y Mailchimp a enviar emails con mi dominio. Para el resto, es soft-fail (~all significa 'sospechoso pero acepta')."

Tipos de SPF:

• ~all = soft-fail (acepta pero sospechoso)
• -all = hard-fail (rechaza)

Comienza con ~all hasta estar seguro.

DKIM (DomainKeys Identified Mail)

Qué es: Una firma criptográfica que prueba que el email viene realmente de ti. Es como tu firma digital.

Por qué importa: Aunque alguien tenga un registro SPF falso, DKIM verifica la integridad del mensaje. Si alguien intenta modificar el email después del envío, DKIM lo detecta.

Cómo funciona:

1. Generates una clave pública y privada
2. Guardas la clave pública en tu DNS
3. Tu servidor de mail firma cada email con la clave privada
4. Gmail verifica la firma contra la clave pública
5. Si coincide, el email es legítimo

En WooCommerce, si usas Flowgration o SendGrid, ellos gestionan DKIM por ti. Solo necesitas agregar la clave pública a tu DNS.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

Qué es: Una política que dice "¿Qué hago si un email SPF o DKIM falla?" Además, recibe reportes sobre quién está intentando usar tu dominio.

Políticas DMARC:

• p=none = monitorear solo, aceptar de todas formas
• p=quarantine = enviar a spam si falla
• p=reject = rechazar directamente si falla

Por qué importa: Te protege de suplantación. Si alguien envía spam con tu dominio y tiene DMARC rechazante, Gmail directamente lo bloquea.

Ejemplo DMARC básico:

v=DMARC1; p=quarantine; rua=mailto:dmarc-report@tudominio.es; ruf=mailto:forensics@tudominio.es

Traducción: "Política DMARC v1. Si falla SPF/DKIM, cuarentena (spam). Envía reportes agregados a dmarc-report@tudominio.es."

Por qué es obligatorio en 2026 (Google, Yahoo y el resto)

En febrero 2024, Google y Yahoo anunciaron que desde febrero 2024:

• Senders enviando más de 5,000 emails/día DEBEN tener SPF y DKIM
• Tasa de spam debe estar por debajo de 0.1%
• Deben soportar unsubscribe de un clic

Para 2026, el requisito se ha extendido a volúmenes más pequeños y otros ISPs (Orange, Vodafone, etc. en España). Si no tienes SPF/DKIM, tus emails no pasan el filtro.

Es tan importante que Gmail ahora marca emails sin autenticación con "?" rojo en el avatar del remitente.

Configurar SPF: paso a paso

Paso 1: Identifica tu proveedor de envío

¿Dónde se originan tus emails? ¿WooCommerce nativo? ¿SendGrid? ¿Mailchimp? ¿Flowgration?

Cada uno tiene un registro SPF específico.

Proveedores comunes:

• SendGrid: sendgrid.net
• Mailchimp: mailchimp.com
• Google Workspace: aspmx.l.google.com
• Amazon SES: amazonses.com
• Flowgration: flowgration.es (si hospedamos)

Paso 2: Accede a tu DNS

Entra en tu registrador de dominios (GoDaddy, Namecheap, 1&1, Ionos, etc.) y busca DNS Manager o Zone File.

Paso 3: Agrega el registro SPF

Busca la sección Registros TXT (o SPF si hay una sección específica).

Nuevo registro:

• Tipo: TXT
• Nombre (Subdomain): @ (o tu dominio raíz)
• Valor:

v=spf1 include:sendgrid.net include:mailchimp.com ~all

(Reemplaza con tus proveedores reales. Si usas solo SendGrid, sería v=spf1 include:sendgrid.net ~all)

Paso 4: Espera propagación

Los cambios DNS tardan 24-48 horas en propagarse. Puedes verificar antes con herramientas online:

• https://mxtoolbox.com/spf.aspx
• https://www.zonemaster.net/

Introduce tu dominio y busca el registro SPF. Debería mostrar tu nuevo valor.

Nota: Solo puede haber UN registro SPF por dominio. Si ya tienes uno, AÑADE include:sendgrid.net al valor existente. No crees dos.

Ejemplo incorrecto (NO hagas esto):

v=spf1 include:mailchimp.com ~all
v=spf1 include:sendgrid.net ~all

Correcto:

v=spf1 include:mailchimp.com include:sendgrid.net ~all

Implementar DKIM: paso a paso

DKIM es más técnico, pero la mayoría de proveedores te lo generan automáticamente.

Paso 1: Genera claves DKIM

En tu proveedor (SendGrid, Mailchimp, Flowgration):

1. Ve a Configuración → Autenticación → DKIM
2. Selecciona tu dominio
3. Haz clic en "Generar DKIM" o "Crear clave"

El proveedor te dará:

• Nombre del registro: algo como s._domainkey.tudominio.es
• Valor del registro: una larga cadena de caracteres (tu clave pública)

Paso 2: Agrega el registro DKIM a DNS

En tu registrador:

• Tipo: TXT
• Nombre: s._domainkey (o lo que te dijo tu proveedor; algunas plataformas dicen selector._domainkey.tudominio)
• Valor: la clave pública que te generó el proveedor

Ejemplo:

Name: s._domainkey.tudominio.es
Value: v=DKIM1; k=rsa; p=MIGfMA0GCS...

Paso 3: Verifica en tu proveedor

Una vez el DNS propague (24h), vuelve a tu proveedor y haz clic en "Verificar DKIM". Debería decir "Verificado ✓".

Nota: Algunos proveedores crean MÚLTIPLES selectores (s1, s2, etc.). Agrégalos todos a DNS.

Configurar DMARC: política paso a paso

Paso 1: Comienza con p=none

Primero, monitorea sin rechazar nada:

v=DMARC1; p=none; rua=mailto:dmarc-reports@tudominio.es

Aggrega en DNS:

• Tipo: TXT
• Nombre: _dmarc (literal)
• Valor: la línea de arriba

Paso 2: Monitorea reportes por 1-2 semanas

Gmail y otros te enviarán reportes a dmarc-reports@tudominio.es. Verás:

• Cuántos emails pasaron autenticación
• Cuántos fallaron
• Quién estaba intentando usar tu dominio

Paso 3: Cambia a p=quarantine (luego p=reject)

Una vez estés seguro de que tus emails legítimos pasan autenticación, sube la política:

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@tudominio.es; ruf=mailto:forensics@tudominio.es; fo=1

Parámetros:

• p=quarantine: Falla → spam
• p=reject: Falla → rechaza (más estricto)
• rua: Email de reportes agregados (semanal)
• ruf: Email de reportes forenses (individual; solo con fo=1)
• fo=1: Envia reporte si ALGUNO de SPF/DKIM falla

Después de 2-4 semanas, si todo está bien, cambia a p=reject:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@tudominio.es; ruf=mailto:forensics@tudominio.es; fo=1

Checklist de entregabilidad + validación DNS

Tu checklist de configuración

• Identificaste tu proveedor de email (SendGrid, Mailchimp, etc.)
• Agregaste registro SPF con v=spf1 include:[proveedor] ~all
• Generaste claves DKIM en tu proveedor
• Agregaste registro DKIM a DNS
• Verificaste DKIM en la plataforma del proveedor
• Agregaste DMARC con p=none para monitoreo
• Esperaste 24-48h a que se propague
• Cambiaste DMARC a p=quarantine después de 1 semana
• Cambiaste DMARC a p=reject después de 2-4 semanas

Herramientas de validación

1. MXToolbox (https://mxtoolbox.com)

   • Entra en "Check MX", "SPF Check", "DKIM Check", "DMARC Check"
   • Introduce tu dominio
   • Debería pasar todos

2. Google Admin Toolbox (https://toolbox.googleapps.com/apps/checkmx/)

   • MX, SPF, DKIM, DMARC
   • Más amigable

3. DMARC Report Analyzer (https://dmarc.agari.com)

   • Ve tus reportes DMARC
   • Análisis detallado

4. SendGrid/Mailchimp/tu proveedor

   • Panel nativo de verificación
   • La fuente más confiable

Preguntas frecuentes

¿Puedo configurar SPF sin DKIM? Técnicamente sí, pero no. SPF sin DKIM es 60% de protección. DKIM sin SPF es 70%. Ambos juntos son 95%+. Hazlo bien desde el inicio.

¿Debo usar p=reject o p=quarantine en DMARC? Comienza con p=quarantine. Es más seguro en caso de configuración fallida. Después de 2-4 semanas de monitoreo limpio, sube a p=reject. p=reject es lo ideal pero riesgoso si algo está mal configurado.

¿Mi email está en spam incluso con SPF/DKIM/DMARC? Hay otros factores:

• Contenido (palabras spam: "gratis", "clickea aquí")
• Lista sucia (envías a emails inválidos)
• Engagement (% que abre, clic)
• IP vieja o con mala reputación
• Falta de unsubscribe fácil

Revisa todos.

¿Cuánto tarda en mejorar la entregabilidad tras configurar esto? 24-48h para que el DNS se propague. 1 semana para que Gmail confíe. 2-4 semanas para ver diferencia clara. Paciencia.

¿Si tengo múltiples dominios, configuro todo en cada uno? Sí. SPF, DKIM y DMARC son POR dominio. Si usas tutienda.es y blog.tutienda.es, configura cada uno.

---

Sin SPF, DKIM y DMARC, en 2026 tus emails de WooCommerce desaparecerán directamente. Pero con esta guía, takes 30 minutos y ganas 15-25% en entregabilidad automáticamente.

El tiempo invertido hoy te ahorrará miles en ingresos perdidos por spam.

¿Listo a configurar? En Flowgration te ayudamos a validar tu configuración de email y optimizar entregabilidad.