Un email enviado desde la dirección profesional de una pyme puede hoy ser rechazado antes incluso de llegar a la bandeja de entrada del destinatario, sin que ningún mensaje de error claro avise al remitente. Desde que Google y Yahoo endurecieron sus exigencias en febrero de 2024, seguidos por Microsoft en mayo de 2025, autenticar el dominio de envío mediante SPF, DKIM y DMARC se ha convertido en la condición de entrada para cualquier buzón profesional que quiera que sus mensajes lleguen a su destino.

Qué significan realmente estas tres siglas

SPF, de Sender Policy Framework, es un registro DNS que enumera los servidores autorizados a enviar emails en nombre de tu dominio. DKIM, de DomainKeys Identified Mail, añade una firma criptográfica a cada mensaje, demostrando que no fue modificado en el camino. DMARC, de Domain-based Message Authentication, Reporting and Conformance, une ambos y le indica a los proveedores de correo qué hacer cuando un email falla estas verificaciones, además de generar informes que revelan quién envía correos suplantando tu dominio.

Por qué ya no es opcional

Estos tres protocolos existen desde hace tiempo, pero hasta hace poco seguían siendo simples recomendaciones de buenas prácticas. Desde 2024, Google y Yahoo exigen su implementación para cualquier dominio que envíe un volumen importante de mensajes, con umbrales precisos en torno a cinco mil correos diarios hacia direcciones personales de Gmail o Yahoo. Microsoft siguió en 2025 con reglas similares para Outlook y Hotmail. Una pyme que envía ocasionalmente presupuestos o boletines no necesariamente supera ese umbral, pero los filtros antispam de estos servicios de correo ahora favorecen claramente a los dominios autenticados, sea cual sea el volumen enviado, lo que hace útil esta configuración mucho más allá de los grandes remitentes originalmente apuntados.

La diferencia entre rechazo y clasificación como spam

Hay una distinción importante que entender aquí. Un dominio sin DMARC o con una configuración incompleta suele ver sus emails filtrados hacia la carpeta de spam del destinatario, que sigue siendo visible aunque poca gente la consulte. Para los grandes remitentes que superan los umbrales fijados por Google y Microsoft, no cumplir los requisitos puede llegar hasta el rechazo directo del mensaje a nivel de servidor, con un código de error técnico que el destinatario nunca verá y que el remitente solo notará si vigila sus registros de envío.

Un problema todavía muy extendido

Una parte importante de los dominios profesionales todavía carece hoy de un registro DMARC correctamente configurado, lo que los expone a la suplantación y a problemas de entregabilidad. Esta cifra varía según los estudios, pero todos coinciden en lo mismo: la mayoría de los dominios aún no ha terminado este trabajo de cumplimiento, mientras que el margen de tolerancia de los grandes proveedores de correo se va cerrando progresivamente.

Cómo comprobar tu propia configuración

El método más sencillo consiste en enviar un email de prueba a una dirección de Gmail, y luego abrir ese mensaje y consultar la opción Mostrar original, que indica claramente si las verificaciones SPF, DKIM y DMARC pasaron o fallaron. Herramientas gratuitas en línea, como MXToolbox, también permiten comprobar la presencia y validez de estos registros DNS sin necesidad de enviar un email de prueba.

La configuración en la práctica

La implementación técnica se realiza a nivel de los registros DNS del dominio, generalmente a través del panel de administración del hosting o del registrador. Una trampa frecuente afecta a las empresas que usan varias herramientas de envío, como su correo profesional, un software de facturación y una herramienta de boletines: cada una debe estar correctamente declarada y firmada, de lo contrario los emails enviados desde esas herramientas de terceros fallarán la alineación DMARC aunque el dominio principal esté bien configurado. Se recomienda empezar con una política DMARC en modo solo supervisión, antes de pasar progresivamente a una política más estricta una vez validada la configuración durante varias semanas.

Puntos a verificar antes de publicar: confirmar en el momento de la publicación los umbrales exactos de volumen que usan Google, Yahoo y Microsoft para calificar a un remitente como gran remitente, así como las fechas de entrada en vigor citadas para Microsoft, y comprobar que los datos mencionados sobre la proporción de dominios aún no conformes siguen siendo coherentes con los estudios disponibles más recientes.