SPF, DKIM y DMARC explicados para quien vende online

SPF, DKIM y DMARC son tres registros en el DNS de tu dominio que demuestran que tus emails salen de verdad de ti. SPF dice quién puede enviar en tu nombre, DKIM firma cada mensaje y DMARC le dice a Gmail o a Yahoo qué hacer cuando un mensaje no pasa esas comprobaciones. Si mandas email de marketing desde tu tienda, Gmail y Yahoo esperan los tres, y puedes comprobar los tuyos en un minuto con nuestro verificador gratuito.

Piensa en tu email como un paquete con tu logo

Cualquiera puede imprimir tu logo en una caja, así que antes de entregar un paquete con tu nombre los proveedores de correo comprueban tres cosas.

• SPF es la lista de mensajeros autorizados. Publicas qué servicios pueden enviar correo con tu dominio: Klaviyo, Shopify, Google Workspace, tu herramienta de atención al cliente.
• DKIM es el lacre. Cada mensaje lleva una firma, y quien lo recibe la comprueba contra una clave pública que está en tu DNS. Si el lacre está intacto, el mensaje es tuyo y nadie lo ha tocado por el camino.
• DMARC es la instrucción al portero. Dice qué hacer con un paquete que dice ser tuyo pero no pasa las comprobaciones: dejarlo pasar (p=none), mandarlo a spam (p=quarantine) o rechazarlo (p=reject). Además pide a los proveedores que te manden informes de quién envía correo en tu nombre.

DMARC añade una prueba más que tumba a muchas tiendas: la alineación. El dominio de tu dirección de remitente tiene que coincidir con el dominio que pasó SPF o DKIM. Aprobar con el dominio de tu plataforma no basta.

Los tres registros de un vistazo

Los tres se editan donde gestiones el dominio: en Shopify si lo compraste ahí, o en Cloudflare, GoDaddy, IONOS o similares.

Qué exigen Gmail y Yahoo a las tiendas

Desde el 1 de febrero de 2024, Google tiene dos niveles de requisitos. Todo remitente necesita SPF o DKIM. Quien envía 5.000 mensajes o más al día a cuentas de Gmail necesita SPF, DKIM y DMARC, con el dominio del remitente alineado con SPF o con DKIM. La política de DMARC puede ser p=none.

Yahoo pide lo mismo a los remitentes masivos: SPF y DKIM, una política DMARC de al menos p=none que se apruebe y alineación con el dominio del remitente.

Los dos añaden normas que no son de DNS:

• Baja con un clic en los mensajes de marketing.
• Las bajas, aplicadas en 2 días, según Yahoo.
• Una tasa de quejas por spam por debajo del 0,3%.

5.000 al día parece mucho hasta que mandas en noviembre una campaña a toda tu lista. Si tu lista anda cerca de ese tamaño, configúralo como si ya fueras remitente masivo.

Cómo comprobar los tuyos en un minuto

Escribe tu dominio en nuestro verificador de entregabilidad. Consulta el DNS público desde tu propio navegador, a través de los resolutores de Google y Cloudflare, así que nosotros no vemos ni guardamos el dominio. Lee tres cosas:

1. SPF en tu dominio principal, y en qué termina el registro. -all es lo más estricto, ~all solo marca como sospechoso el correo no autorizado, y +all o ?all no restringen nada.
2. DKIM, buscando la clave en tu dominio principal y en los subdominios de envío habituales (send, email, mail, klaviyo, news y alguno más) con los selectores más comunes.
3. DMARC en _dmarc de tu dominio, y qué política tiene.

Lo de DKIM es la razón por la que lo hicimos. Cuando una tienda envía desde un subdominio con su marca, la firma vive en ese subdominio, no en la raíz. Los verificadores que solo miran la raíz dicen "no hay DKIM" a una tienda que lo tiene bien puesto, que es el caso normal en ecommerce.

Cómo se configuran en Klaviyo

Klaviyo lo llama branded sending domain, o dominio de envío dedicado. Sin él, tu correo sale por el dominio compartido de Klaviyo. SPF y DKIM pasan, pero con el dominio de Klaviyo, no con el tuyo, así que tu remitente no está alineado y algunas bandejas muestran "vía klaviyomail.com". La ayuda de Klaviyo lo dice claro: para cumplir DMARC necesitas un dominio de envío propio que coincida con el dominio raíz de tu remitente.

Los pasos, según la guía de Klaviyo:

1. Elige un subdominio para marketing, como send.tutienda.com. Klaviyo propone nombres como send, emails o newsletter, y desaconseja mail porque suele estar ocupado por tu buzón.
2. Conéctalo en Klaviyo, que genera los registros: hasta 3 registros CNAME (o 4 NS) y un TXT para verificar que el dominio es tuyo.
3. Añade esos registros en tu proveedor de DNS. Klaviyo también puede darte un registro DMARC con p=none si aún no tienes uno.
4. Verifica y activa. Los cambios de DNS pueden tardar hasta 48 horas en verse.

Cómo se configuran en Shopify Email

Shopify lo llama autenticación del dominio de email. Ve a Configuración, luego Notificaciones, y en la sección de correo del remitente elige autenticar tu dominio. Shopify te da registros CNAME que se encargan de DKIM y SPF, así que no hace falta un registro SPF aparte para esto, y un registro DMARC de al menos v=DMARC1; p=none.

Si compraste el dominio en Shopify, viene configurado. Si está en Cloudflare, GoDaddy o IONOS, Shopify puede añadir los registros de forma automática. En cualquier otro sitio los copias a mano, y los cambios pueden tardar hasta 48 horas.

Si te lo saltas, Shopify cambia tu dirección de remitente por algo como store+123@shopifyemail.com.

Un aviso de Shopify que vale para todo: tu dominio solo puede tener un registro DMARC. Si Klaviyo y Shopify te proponen uno cada uno y pegas los dos, la validación falla. Quédate con uno y edítalo.

Por qué DMARC empieza en p=none y sube después

p=none no bloquea nada, pero es el punto de partida correcto, y Google y Yahoo lo aceptan. Una tienda casi nunca envía desde una sola herramienta. Klaviyo manda las campañas, Shopify las confirmaciones de pedido, Google Workspace tus respuestas, y además están la herramienta de atención al cliente, la app de reseñas y la de facturación. Si empiezas en p=reject y una de ellas no está autenticada, su correo se rechaza y nadie te avisa.

Este es el orden que seguimos cuando revisamos una cuenta:

1. Publica p=none con una dirección para informes (la etiqueta rua), para que los proveedores te manden resúmenes diarios de quién envía en tu nombre. El registro que genera Klaviyo no la incluye, así que añádela.
2. Lee los informes unas semanas y autentica cada herramienta legítima que aparezca.
3. Pasa a p=quarantine cuando todo lo tuyo apruebe.
4. Pasa a p=reject cuando quarantine lleve un tiempo sin sobresaltos.

La autenticación es lo primero que miramos en una auditoría, antes de leer un solo flujo. Si estás preparando noviembre, suma esta comprobación a la lista de octubre de nuestro plan de emails de Black Friday.

Fuentes

Consultadas el 5 de octubre de 2026.

• Google: directrices para remitentes de email
• Gmail: comprobar si un mensaje está autenticado
• Yahoo: buenas prácticas para remitentes
• Klaviyo: cómo configurar un dominio de envío propio
• Klaviyo: qué es un subdominio de envío propio
• Klaviyo: la autenticación del email
• Shopify: configurar tu email
• Shopify: la dirección de envío de tu tienda
• dmarc.org: visión general
• RFC 9989: DMARC