Sender Policy Framework
Un registro TXT en tu dominio con la lista de servidores autorizados a enviar en su nombre, p. ej. v=spf1 include:_spf.google.com ~all. Cada dominio solo puede tener un SPF, y su evaluación no puede superar 10 consultas DNS.
Herramienta gratis · sin registro
Verificador de SPF, DKIM y DMARC gratis
Gmail y Yahoo (desde febrero de 2024) y Microsoft Outlook (desde mayo de 2025) exigen a los remitentes masivos autenticar su dominio con SPF, DKIM y DMARC. Escribe tu dominio para comprobar los tres —además de MX, BIMI, MTA-STS y TLS-RPT— y obtén una nota, el veredicto para envíos masivos y una lista de correcciones por prioridad.
Informe de autenticación de
Nota: / 100
Comprobado el
Resultado de los últimos 10 minutos. ¿Acabas de cambiar el DNS? Vuelve a comprobarlo en unos minutos.
Qué corregir, por prioridad
Tu dominio es solo la mitad de la entregabilidad: limpia tu lista
Crear cuenta gratis — 200 créditos Una autenticación perfecta no evita los rebotes. Enviar a direcciones inválidas, desechables o abandonadas daña tu reputación de remitente tanto como no tener DMARC. Valida tu lista antes de la próxima campaña.
→ Comprueba una dirección con el validador de email gratis → Bloquea direcciones malas en el registro con la validación en tiempo real
Cómo funciona este verificador de SPF, DKIM y DMARC
- 1
Consultas DNS en vivo
Consultamos el DNS de tu dominio en tiempo real. Pega un dominio, un email o una URL: nosotros extraemos el dominio.
- 2
SPF analizado y contado
Leemos tu registro SPF, seguimos cada include y redirect, contamos las consultas DNS frente al límite de 10 de la RFC 7208 y revisamos el calificador «all» final.
- 3
DKIM y DMARC
Probamos más de 30 selectores DKIM comunes y hasta 5 tuyos, medimos el tamaño de la clave y analizamos tu política DMARC, el pct y la dirección de informes.
- 4
Nota y correcciones
Obtienes una nota de 0 a 100 con calificación de la A a la F, el veredicto para envíos masivos en Gmail/Yahoo/Outlook y una lista priorizada de qué corregir, en lenguaje claro.
SPF, DKIM, DMARC, BIMI y MTA-STS explicados fácil
Unos pocos registros DNS deciden si los proveedores de correo confían en los mensajes que dicen venir de tu dominio.
DomainKeys Identified Mail
Tu plataforma de envío firma cada mensaje con una clave privada; la clave pública se publica en selector._domainkey.tudominio. Una firma válida demuestra que el mensaje no se alteró y que tu dominio lo respalda. Usa claves de 2048 bits.
Domain-based Message Authentication, Reporting & Conformance
Un registro TXT en _dmarc.tudominio que indica al receptor qué hacer con los mensajes que no superan SPF ni DKIM alineados —p=none (monitorizar), p=quarantine (spam) o p=reject (rechazar)— y adónde enviar los informes (rua).
Extras opcionales
BIMI muestra el logo de tu marca junto a tus mensajes cuando DMARC está aplicado (los grandes buzones también piden un certificado de marca). MTA-STS y TLS-RPT hacen que el correo enviado a tu dominio viaje cifrado y te avisan cuando no es posible.
→ Lee la guía completa de SPF, DKIM y DMARC, con un plan de implementación paso a paso
Requisitos de envío masivo de Gmail, Yahoo y Outlook
Desde febrero de 2024 Gmail y Yahoo —y desde mayo de 2025 Microsoft Outlook.com— aplican reglas más estrictas a quien envía unos 5.000 mensajes diarios o más a sus usuarios. El correo que no cumple va a spam o se rechaza.
SPF y DKIM
Ambos deben estar configurados en el dominio de envío. Los remitentes pequeños necesitan al menos uno, pero tener los dos es lo más seguro.
DMARC, como mínimo p=none
Un registro DMARC válido es obligatorio. p=none se acepta, pero solo quarantine o reject impiden realmente la suplantación de tu dominio.
Alineación
El dominio del remitente visible (From) debe coincidir con el dominio que supera SPF o DKIM. Esto se comprueba en los mensajes reales, no en el DNS.
Baja con un clic
Gmail y Yahoo exigen que los mensajes de marketing lleven la cabecera List-Unsubscribe de un clic (RFC 8058) y que las bajas se procesen en dos días como máximo.
Tasa de spam por debajo del 0,3 %
Mantén las denuncias de spam por debajo del 0,3 % en Google Postmaster Tools, idealmente por debajo del 0,1 %. Las direcciones antiguas, inválidas y abandonadas disparan rebotes y quejas.
PTR y TLS válidos
Las IP de envío necesitan DNS directo e inverso coherentes, y los mensajes deben entregarse a través de una conexión TLS.
Este verificador revisa todo lo que es visible en el DNS. La alineación, las cabeceras de baja y la tasa de spam dependen de cómo envías y de la calidad de tu lista.
Preguntas frecuentes
¿Este verificador de SPF, DKIM y DMARC es realmente gratis?
Sí. Puedes hacer 30 comprobaciones al día sin cuenta. La herramienta solo lee registros DNS públicos: no se envía ningún correo desde tu dominio ni hacia él.
¿Cuál es una buena política DMARC?
Empieza con p=none y una dirección rua para recibir informes durante unas semanas. Cuando todos los remitentes legítimos superen SPF o DKIM alineados, pasa a p=quarantine y después a p=reject, aplicado al 100 % de los mensajes. p=none cumple el mínimo de Gmail, Yahoo y Outlook, pero no protege tu dominio contra la suplantación.
¿Por qué el SPF tiene un límite de 10 consultas DNS?
La RFC 7208 limita a 10 por comprobación los mecanismos que generan consultas DNS (include, a, mx, ptr, exists y redirect) para proteger a los receptores. Por encima, el resultado es «permerror» y muchos receptores tratan el SPF como fallido. Elimina servicios que ya no uses, sustituye includes por rangos ip4/ip6 cuando sean estables o mueve algunos remitentes a subdominios.
¿Qué es un selector DKIM y cómo encuentro el mío?
El selector es el nombre bajo el que se publica la clave pública DKIM (selector._domainkey.tudominio), lo que permite tener varias claves en un mismo dominio. Abre un mensaje que hayas enviado, mira las cabeceras originales y busca DKIM-Signature: el valor de s= es el selector y d= el dominio firmante.
¿La clave DKIM debe ser de 1024 o de 2048 bits?
Usa 2048 bits. Las claves de 1024 bits todavía las aceptan los grandes proveedores, pero se consideran débiles, y las de menos de 1024 bits se rechazan. Si tu proveedor de DNS no admite el valor largo en una sola cadena, divídelo en varias cadenas entre comillas dentro del mismo registro TXT.
¿Necesito BIMI?
No. BIMI es opcional y por sí solo no mejora la entregabilidad. Muestra tu logo en los buzones compatibles cuando DMARC está en quarantine o reject; Gmail y Apple Mail exigen además un Verified Mark Certificate (Gmail acepta también un Common Mark Certificate).
¿Por qué el verificador no encuentra mi clave DKIM?
Una clave DKIM solo se puede encontrar conociendo el selector: el DNS no permite listarlas. Probamos más de 30 selectores comunes; si tu plataforma usa uno personalizado, escríbelo en el campo opcional. Confirma también que la plataforma firma con tu propio dominio (d=tudominio) y no con el suyo.
¿Cuánto tardan en verse los cambios de DNS?
Normalmente minutos, pero puede tardar hasta el TTL del registro (a menudo una hora, a veces hasta 48 horas). Nuestros resultados se guardan en caché 10 minutos, así que espera un poco antes de volver a comprobar.
Dominio autenticado + lista limpia = bandeja de entrada
Una cuenta gratis te da 200 créditos (10 para emails de proveedor gratuito) para validar listas masivas, mediante la API REST o en tiempo real en tus formularios.
Crear cuenta gratis — 200 créditosSin tarjeta de crédito. Los créditos no caducan.