Respuesta rápida: si tu dominio no tiene configurados SPF y DMARC, cualquier persona del mundo puede enviar correos que parezcan venir de tu dirección — a tus clientes, a tus proveedores o a ti mismo — y los servidores de destino no tienen forma de detectarlo. Configurarlos es gratis y toma minutos. Comprueba cómo está cualquier dominio:
Qué revisa este diagnóstico
- Registros A: a qué servidor apunta el dominio. Sin esto, la web no carga.
- Registros MX: quién gestiona su correo. Su ausencia en un negocio que dice atender clientes es llamativa.
- SPF: qué servidores están autorizados a enviar correo en nombre del dominio.
- DMARC: qué debe hacer el servidor receptor cuando alguien intenta suplantarlo.
- DNSSEC: si las respuestas DNS van firmadas contra manipulación.
- Servidores de nombres: quién controla la configuración del dominio.
Con todo eso calculamos una puntuación de protección del correo sobre 100, para que veas de un vistazo si el dominio está blindado o abierto.
SPF, DMARC y DNSSEC explicados sin tecnicismos
SPF: la lista de remitentes autorizados
Es un registro público que dice «solo estos servidores pueden enviar correo en mi nombre». Cuando llega un mensaje que dice ser tuyo, el servidor receptor consulta esa lista. Si el emisor no está, sabe que algo huele mal.
Atención al final del registro: si termina en -all, los correos no autorizados se rechazan. Si termina en ~all, solo se marcan como sospechosos. Y si termina en +all, autoriza a todo el mundo — equivale a no tener SPF, y es un error de configuración más frecuente de lo que debería.
DMARC: la política que da los dientes
SPF y DKIM detectan el problema; DMARC decide qué hacer con él. Tiene tres modos:
p=none— solo observa y genera informes. No bloquea nada. Es un primer paso, no una protección.p=quarantine— los correos sospechosos van a spam.p=reject— se rechazan directamente. Es la configuración más segura.
Muchos dominios se quedan años en p=none creyendo que están protegidos. No lo están.
DNSSEC: firma contra la manipulación
Firma criptográficamente las respuestas DNS para que nadie pueda redirigir tu dominio a un servidor falso por el camino. Es opcional y la mayoría de dominios no lo usa; tenerlo es una señal de configuración cuidadosa.
Para quién es útil este diagnóstico
Si el dominio es tuyo
Es la revisión de salud que casi nadie hace. Sin SPF ni DMARC, un estafador puede escribir a tus clientes desde facturacion@tudominio.com pidiendo que paguen a otra cuenta, y el correo llegará limpio a su bandeja de entrada. El daño reputacional es enorme y la protección es gratuita: la configura tu proveedor de hosting o de correo en unos minutos.
Si estás verificando a un tercero
Antes de contratar o pagar a una empresa desconocida, su configuración DNS dice bastante. Un negocio establecido suele tener correo propio, SPF y alguna política DMARC. Su ausencia total no prueba fraude — muchos negocios pequeños legítimos están mal configurados — pero sí indica descuido en algo que sí importa cuando manejan tu dinero o tus datos.
Si recibiste un correo sospechoso
Comprueba el dominio remitente aquí y después analiza el mensaje con nuestro Analizador de Cabeceras de Correo. Si el dominio tiene DMARC en reject y aun así el correo llegó fallando la comprobación, la conclusión es clara.
Cómo arreglarlo si es tu dominio
- Entra al panel DNS de donde tengas el dominio (tu hosting o tu registrador).
- Añade el SPF que te indique tu proveedor de correo. Si usas Google Workspace, Microsoft 365 o el correo de tu hosting, cada uno publica su valor exacto: cópialo tal cual.
- Añade un DMARC como registro TXT en
_dmarc.tudominio.com. Empieza enp=nonepara observar durante unas semanas sin romper nada, y sube después aquarantiney areject. - Activa DKIM desde el panel de tu proveedor de correo: normalmente es un botón que genera la firma.
- Vuelve a analizar aquí pasadas unas horas para confirmar que los cambios se propagaron.
Los Cinco Registros que Más Problemas Causan
Cuando algo falla en un dominio, casi siempre es uno de estos, y cada uno da un síntoma distinto.
El registro A dice en qué servidor está la web. Si falta o apunta mal, el sitio no carga aunque el dominio esté pagado.
Los MX dicen a dónde va el correo. Un error aquí es el motivo número uno de «no me llegan los correos»: el dominio funciona, la web se ve, pero los mensajes se pierden.
El SPF lista quién puede enviar correo en tu nombre. Sin él, cualquiera puede escribir haciéndose pasar por tu dirección, y tus propios envíos acaban en la carpeta de no deseado.
El DMARC le dice al servidor que recibe qué hacer cuando algo no cuadra: dejarlo pasar, mandarlo a no deseado o rechazarlo. Es la diferencia entre detectar una suplantación y bloquearla.
Y los NS dicen quién manda sobre todo lo anterior. Si apuntan a un proveedor antiguo, puedes estar cambiando registros en un panel que ya nadie consulta, y ese es el error que más horas hace perder.
Para Qué Sirve Esto Si No Tienes un Dominio
La mayoría de quien llega aquí no administra ningún sitio, y aun así el diagnóstico responde preguntas útiles.
¿Este correo viene de quien dice? Consulta el dominio del remitente. Un banco o una tienda grande tendrán SPF y DMARC bien configurados. Un dominio creado hace dos semanas, sin registros de correo, es una señal de alarma.
¿Esta tienda es real? Los registros dicen dónde está alojada y desde cuándo. Una tienda seria no tiene su correo en un servicio gratuito.
¿Por qué la página de mi trabajo no carga? Si el registro A responde bien, el problema está en tu conexión o en tu equipo, no en el sitio. Eso ahorra media hora de llamadas.
Cuándo el Problema No es el DNS
Antes de pasar horas revisando registros, conviene descartar lo que se parece pero es otra cosa.
Si la web carga en el celular con datos pero no en el WiFi de casa, el dominio está bien: lo que falla es el DNS de tu router o de tu proveedor. Se arregla cambiando el servidor DNS del router, no tocando el dominio.
Si acabas de cambiar algo y no se refleja, es propagación. Los cambios de DNS tardan desde minutos hasta un día entero en verse en todas partes, porque los servidores guardan la respuesta anterior durante un tiempo. No se acelera reconfigurando otra vez.
Si el sitio carga pero da error de certificado, el DNS apunta bien y el problema está en el servidor o en el certificado caducado.
Y si el dominio no responde nada, comprueba primero que esté pagado. Un dominio vencido deja de responder aunque todos los registros estén perfectos, y es más común de lo que parece.
Herramientas relacionadas
- Verificador de Sitios Web — antigüedad del dominio, certificado y señales de fraude.
- LinkCheck — analiza un enlace antes de abrirlo.
- ScamCheck — detecta las señales de estafa en un mensaje.
- Todas nuestras herramientas gratuitas.
Preguntas frecuentes
¿Cómo sé si mi dominio tiene SPF y DMARC?
Escríbelo en la herramienta de arriba: te muestra los registros encontrados y una puntuación de protección. Si aparece «Sin registro SPF» o «Sin registro DMARC», ahí tienes tu tarea pendiente.
Tengo DMARC en p=none, ¿estoy protegido?
No. En ese modo, DMARC solo observa y envía informes: los correos que suplantan tu dominio siguen entregándose con normalidad. Es un buen punto de partida para ver qué pasa antes de endurecer, pero quedarse ahí para siempre da una falsa sensación de seguridad.
¿Configurar SPF puede romper mi correo?
Puede, si olvidas incluir algún servicio que envía en tu nombre — una plataforma de facturación, un boletín, un formulario web. Por eso conviene empezar con ~all y DMARC en p=none, revisar los informes unas semanas, y endurecer cuando confirmes que no falta nadie.
¿Por qué un dominio grande y conocido no tiene DNSSEC?
Porque su adopción sigue siendo minoritaria y añade complejidad operativa. No tenerlo no es un fallo grave; tenerlo es una señal de configuración cuidadosa.
Cambié mis registros y aquí sale lo antiguo
Los cambios DNS tardan en propagarse, de minutos a varias horas según el tiempo de caché del dominio. Además guardamos el resultado unas horas para no repetir consultas. Vuelve más tarde.
Si tienes un dominio propio, esta es probablemente la revisión de seguridad más rentable que puedes hacer hoy: cuesta cero y evita que suplanten tu correo.
