Cómo configurar DKIM y SPF correctamente

Si tus cold emails desaparecen en la carpeta de spam, rebotan sin motivo aparente o Google y Microsoft los marcan como sospechosos, lo primero que falla no es el copy. Es la confianza. Aprender a configurar DKIM y SPF correctamente es una de las formas más rápidas de mejorar la entregabilidad, porque le dice a los proveedores de correo que tu dominio autorizó de verdad ese mensaje.

Si tu empresa envía campañas de outbound, esto no es una tarea técnica menor y opcional. Forma parte de tu infraestructura de ingresos. Si usas un dominio propio para la prospección, necesitas SPF y DKIM funcionando antes de escalar el volumen, probar campañas o evaluar resultados.

Cómo configurar DKIM y SPF sin complicarte

SPF y DKIM hacen trabajos relacionados, pero no son lo mismo.

SPF, o Sender Policy Framework, indica a los servidores receptores qué servidores de correo pueden enviar emails en nombre de tu dominio. Piensa en él como una lista de remitentes autorizados publicada en tus registros DNS.

DKIM, o DomainKeys Identified Mail, añade una firma criptográfica a tus emails salientes. Esa firma demuestra que el mensaje fue autorizado por tu dominio y que no se alteró por el camino.

Si falta SPF, los proveedores de correo tienen menos confianza en que tu servidor de envío sea legítimo. Si falta DKIM, tienen menos pruebas de que el mensaje en sí sea auténtico. Lo que quieres es que ambos funcionen a la vez. En la mayoría de los casos acabarás queriendo también DMARC, pero SPF y DKIM son el primer paso.

Antes de configurar nada

Necesitas acceso a dos sitios: la configuración DNS de tu dominio y tu plataforma de envío de emails. El DNS suele gestionarse desde tu registrador de dominios o tu proveedor de hosting. Tu plataforma de envío puede ser Google Workspace, Microsoft 365, tu software de cold email, tu proveedor SMTP o un servicio de envío especializado.

Las pantallas concretas cambian, pero el proceso suele ser el mismo. Tu proveedor de correo te da unos registros DNS que añadir. Tú los publicas en la configuración de tu dominio. Después compruebas que estén activos.

Si envías la prospección desde un dominio o subdominio aparte, suele ser la opción más inteligente. Protege la reputación de tu dominio principal si la calidad de tus campañas baja o si subes el volumen demasiado rápido. Mucha gente lo ignora hasta que el rendimiento cae. Para entonces, ya está reparando el daño en lugar de evitarlo.

Paso 1: Añade tu registro SPF

Tu registro SPF es un registro TXT en tu DNS. Empieza por v=spf1 e incluye los servicios autorizados a enviar correo desde tu dominio.

Un ejemplo sencillo sería este:

v=spf1 include:_spf.google.com ~all

Ese ejemplo le dice a los proveedores de correo que Google puede enviar emails desde tu dominio. Si usas también otra plataforma, como una herramienta de outreach o un servicio de email transaccional, es posible que haya que incluirla igualmente.

Lo más importante del SPF es que solo debes tener un registro SPF por dominio. No dos. No uno por cada herramienta. Un único registro que contenga todos los remitentes autorizados.

Aquí es donde muchas empresas rompen su entregabilidad sin darse cuenta. Añaden un segundo registro TXT de SPF cuando conectan una plataforma nueva. El DNS lo acepta, pero los servidores de correo receptores pueden considerar que la configuración de SPF no es válida. La solución es fusionar todos los remitentes autorizados en un único registro SPF.

También debes fijarte en el final del registro. La etiqueta ~all es un soft fail (fallo suave), habitual en las configuraciones iniciales. La etiqueta -all es un hard fail (fallo duro) y es más estricta. Cuál uses depende de lo seguro que estés de haber incluido todas las fuentes de envío legítimas. Si pasas a -all demasiado pronto y se te olvida un remitente, el correo legítimo puede fallar.

Paso 2: Añade tu registro DKIM

DKIM también se añade a través del DNS, pero normalmente usa uno o varios registros CNAME o TXT según tu proveedor.

Tu plataforma de email generará un selector DKIM y una clave pública. Tú añades esa información al DNS exactamente como te la dan. Después, tu plataforma de envío usa la clave privada correspondiente, entre bastidores, para firmar los mensajes salientes.

Un registro DKIM suele parecer más técnico que uno SPF, pero la regla real es sencilla: cópialo tal cual. Un carácter que falte, un salto de línea roto o un nombre de host incorrecto pueden impedir la validación.

Algunos proveedores te piden que publiques un host con un valor como este:

selector1._domainkey.yourdomain.com

Después hay que asociarle el valor TXT o el destino CNAME que te faciliten.

Cuando ese registro se propague, tu proveedor debería poder verificarlo. Tras la verificación, los emails enviados a través de ese proveedor llevarán una firma DKIM vinculada a tu dominio.

Si envías desde varios proveedores, puede que tengas varios selectores DKIM. Es normal. A diferencia del SPF, DKIM admite varios registros porque cada selector es independiente.

Paso 3: Verifica ambos registros antes de enviar volumen

No des por hecho que los cambios en el DNS han funcionado solo porque hayas pulsado guardar. La propagación del DNS puede tardar unos minutos o, en algunos casos, más. La mayoría de las plataformas de envío ofrecen un botón de verificación o una comprobación de estado. Úsalo.

También deberías enviar emails de prueba a cuentas que controles, como Gmail u Outlook, e inspeccionar las cabeceras del mensaje o los resultados de autenticación. Lo que buscas es SPF pass y DKIM pass.

Si uno pasa y el otro falla, estás autenticado a medias, no configurado del todo. Eso puede seguir mejorando el rendimiento frente a enviar sin autenticación, pero no es el estándar que quieres para campañas de outbound.

Errores habituales que dañan la entregabilidad

El mayor error es tratar SPF y DKIM como un trámite para marcar casillas. No lo son. Una mala configuración puede ser casi tan dañina como no tener ninguna, porque genera una autenticación incoherente.

Un problema frecuente es usar el dominio de envío equivocado. La dirección From visible tiene que estar alineada con el dominio que has autenticado. Si tu plataforma firma con un dominio pero el mensaje dice venir de otro, la confianza se rompe enseguida.

Otro es olvidar que el reenvío puede afectar al SPF. Como el SPF comprueba la ruta del servidor emisor, el correo reenviado puede fallar el SPF aunque el remitente original fuera legítimo. DKIM resiste mejor en ese escenario porque valida la firma sobre el contenido. Esa es una de las razones por las que DKIM importa tanto.

También está el problema del aplanado de registros y de los límites de consultas SPF. El SPF permite solo un número limitado de consultas DNS. Si acumulas demasiados include de demasiadas herramientas, puedes superar el límite y provocar fallos. Para una empresa con un stack de herramientas desordenado, esto importa. A veces la respuesta es limpiar, no poner otro parche.

Cómo afecta esto al rendimiento del cold outreach

Si envías emails de ventas, la autenticación afecta directamente a la ubicación en la bandeja de entrada, no solo al cumplimiento normativo. Una oferta potente no sirve de nada si el email nunca llega a verse.

Los proveedores de correo usan la autenticación como una de varias señales de confianza. No va a salvar una mala segmentación, un copy flojo ni unos patrones de envío temerarios. Pero sin ella, incluso una campaña bien montada parte en desventaja.

Esto es especialmente cierto si escribes a nuevos prospectos a gran escala. El cold outreach ya está más vigilado que la comunicación con clientes. Necesitas que tu configuración técnica reduzca la fricción, no que la aumente.

Por eso las empresas que hacen campañas de outbound deberían pensar más allá del software de envío. Lo que importa es el sistema completo – configuración del dominio, salud de los buzones, registros DNS, rampa de volumen, calidad de la lista y relevancia del mensaje. Las herramientas pueden acelerar la ejecución, pero ninguna herramienta puede dejar atrás una reputación de dominio rota.

¿Necesitas también DMARC?

Sí, normalmente. Pero conviene ajustar las expectativas.

DMARC se apoya en SPF y DKIM. Indica a los proveedores de correo qué hacer cuando falla la autenticación y te da visibilidad mediante informes. Si SPF y DKIM no están configurados antes, DMARC tiene muy poco con lo que trabajar.

Para muchas empresas, el orden inteligente es SPF primero, DKIM segundo y DMARC tercero. Si te lanzas directamente a DMARC con una política de rechazo y tu configuración de base está mal, puedes bloquear correo legítimo. Empieza con monitorización, confirma la alineación y endurece la política poco a poco.

Un estándar práctico de configuración para la mayoría de las empresas

Si quieres una base fiable, usa un dominio o subdominio de envío dedicado a la prospección, publica un único registro SPF limpio, activa DKIM en tu plataforma de envío, verifica ambos y haz pruebas antes de lanzar campañas. Después añade DMARC cuando la base esté estable.

Este enfoque te da control. Protege el dominio principal de tu marca, facilita la resolución de problemas y despeja el camino para escalar el outbound.

Para equipos sin perfil técnico, la buena noticia es que normalmente se hace una sola vez y no es una tarea del día a día. Cuando está bien hecho, tu atención puede volver a lo que de verdad mueve el pipeline – apuntar a los prospectos adecuados, escribir mejores ofertas y enviar con disciplina.

Si te tomas en serio el email como canal de ventas, no trates la autenticación como algo secundario. Configúrala una vez, verifícala bien y dale a tus campañas una oportunidad real de llegar a la bandeja de entrada.