shattered.io ha publicado una guía titulada «SPF DKIM DMARC Setup in 12 Steps, 75 Min [2026]» que ofrece un procedimiento estructurado para configurar las tres principales tecnologías de autenticación de correo electrónico: SPF, DKIM y DMARC. La propuesta está orientada a administradores de sistemas, responsables de correo y propietarios de sitios web que deseen reducir el fraude por suplantación y mejorar la entregabilidad de sus correos.
Qué incluye la guía y por qué importa
La guía describe un flujo práctico en 12 pasos que cubre desde el análisis inicial de envíos hasta la puesta en producción de políticas de autenticación. Estas tecnologías sirven fines complementarios: SPF (Sender Policy Framework) especifica qué servidores pueden enviar correo en nombre de un dominio; DKIM (DomainKeys Identified Mail) firma los mensajes con una clave criptográfica para verificar que no se han alterado; y DMARC (Domain-based Message Authentication, Reporting and Conformance) define una política sobre cómo deben tratarse los correos que fallan las comprobaciones y solicita informes sobre la actividad.
Para administradores de hosting y VPS, aplicar correctamente SPF, DKIM y DMARC significa reducir la probabilidad de que los correos transaccionales o de marketing terminen en la carpeta de spam, y proteger la reputación del dominio frente a campañas de phishing que utilicen su nombre.
Resumen práctico del procedimiento
- Inventario de envíos: identificar todos los servicios y servidores que envían correo con el dominio (servidores propios, SMTP externos, plataformas SaaS, sistemas de facturación, etc.).
- Comprobaciones previas: revisar registros DNS actuales y tomar nota de SPF, DKIM y DMARC existentes para evitar conflictos.
- SPF: construir un registro SPF que incluya solo los remitentes autorizados; explicar el uso de mecanismos (ip4, include, a, mx) y la importancia del límite de longitud y del número de consultas DNS.
- DKIM: generar claves públicas/privadas, publicar la clave pública en DNS y configurar el firmador en el MTA o servicio de envío. La guía muestra buenas prácticas sobre longitud de clave y selección de selector.
- DMARC: crear una política DMARC en modo de monitorización (p=none) para recopilar informes, revisar los reportes agregados y forenses, y luego endurecer la política a cuarentena o rechazo según los resultados.
- Validación y monitoreo: uso de herramientas de diagnóstico y comprobación de cabeceras para verificar que SPF y DKIM pasan y que DMARC procesa los resultados correctamente.
- Iteración: ajustar registros y excepciones (por ejemplo, servicios legítimos que requieren inclusión) antes de aplicar políticas estrictas.
Qué debe hacer el administrador
La guía de shattered.io está pensada como una hoja de ruta aplicable en entornos de hosting y VPS. Recomendaciones prácticas extraídas de la guía incluyen:
- Realizar el inventario de remitentes antes de tocar DNS para evitar bloquear servicios legítimos.
- Comenzar con DMARC en modo de monitorización para recoger datos sin afectar la entrega.
- Configurar rotación y protección de claves DKIM y documentar los selectores usados.
- Controlar el uso de registros SPF con muchos includes para no superar los límites de consultas DNS y emplear mecanismos como ip4 cuando proceda.
- Automatizar la recolección y análisis de informes DMARC para detectar suplantación o configuraciones incorrectas.
Limitaciones y contexto
La publicación de shattered.io ofrece un recorrido práctico, pero no sustituye a la documentación específica de cada proveedor de correo o panel de control. Algunos pasos requieren acceso al panel DNS del registrador o del proveedor de hosting, y otros dependen del MTA o del servicio SMTP en uso. Si no se dispone de permisos para editar DNS o configurar el servidor de correo, será necesario coordinar con el proveedor correspondiente.
En general, seguir esta guía reduce riesgos de suplantación y mejora la entregabilidad, pero exige una fase de pruebas y monitoreo antes de aplicar políticas estrictas que puedan bloquear correos legítimos.
Lee también:
- Estrategia y palabras clave para registrar dominios a mano: lecciones de un experto
- El curioso “más allá” de los dominios caducados: cómo se recicla su tráfico y autoridad
Fuente: shattered.io
