Comprobador de SPF y DMARC: revise los registros de correo

Cómo se usa

Escriba su dominio en Dominio, por ejemplo example.com.
Si lo conoce, añada el Selector DKIM de un mensaje firmado, como google o selector1. Déjelo vacío si no lo conoce.
Pulse Comprobar dominio. En Registro SPF, el recuento de Consultas DNS debe mantenerse en 10 o menos.
Lea Política DMARC. none solo supervisa; quarantine y reject actúan sobre el correo que falla.

Qué comprueba SPF

SPF (RFC 7208) enumera los servidores que pueden enviar correo para un dominio, en un registro TXT. Un receptor toma el dominio del remitente, lee su registro SPF y comprueba el servidor de envío con cada término de izquierda a derecha. El primer término que coincide decide el resultado, según su calificador: + supera (el valor por defecto cuando no se escribe ninguno), - falla, ~ es un fallo suave y ? es neutral.

include, a, mx, ptr, exists y redirect cuestan cada uno una consulta DNS, y las consultas de un registro incluido también cuentan. Los receptores se detienen en 10 y tratan el resultado como un error, así que una configuración de correo grande puede romper SPF sin que nadie lo note.
ip4 e ip6 no cuestan ninguna consulta. Un proveedor que publica sus rangos de dirección puede escribirse con ellos.
Dos registros SPF en un mismo nombre son un error (RFC 7208, sección 4.5), y ptr no se recomienda (sección 5.5).

Qué hace DMARC

DMARC (RFC 7489) indica a los receptores qué hacer con el correo que falla las comprobaciones de su dominio, y adónde enviar los informes. Es un registro TXT en _dmarc seguido de su dominio, formado por etiquetas separadas por punto y coma: p es la política, sp la política para los subdominios, pct el porcentaje de correo que falla al que se aplica la política, rua la dirección para los informes agregados, y adkim y aspf la alineación, r para relajada y s para estricta.

Esta herramienta lee el registro en _dmarc seguido del dominio que escribe. Los receptores que no encuentran allí un registro miran también el dominio organizativo, algo que esta herramienta no calcula.

Claves DKIM

DKIM firma cada mensaje con una clave que se publica en el DNS bajo un selector, en selector seguido de ._domainkey y su dominio (RFC 6376, sección 3.6.1). La página lee el tipo de clave y el tamaño de una clave RSA a partir de su clave pública. Una clave vacía significa que la clave ha sido revocada. Las claves Ed25519 (RFC 8463) tienen un tamaño fijo de 256 bits.

Lo que no hace este comprobador

No envía correo ni prueba un mensaje real, así que no puede decir si su correo supera las comprobaciones.
No expande macros como %{d}, así que un registro que las use puede dar un recuento de consultas distinto del de un receptor.
No calcula el dominio organizativo para DMARC, y no comprueba las consultas que no devuelven nada.

Ejemplo: los registros SPF y DMARC de un dominio

El registro SPF v=spf1 +mx a:colo.example.com/28 -all permite enviar correo a los servidores de correo del dominio, y a las direcciones de colo.example.com dentro de una red /28. Cualquier otro remitente falla (-all). El registro cuesta dos consultas DNS, mx y a.

El registro DMARC v=DMARC1; p=reject; rua=mailto:[email protected] pide a los receptores que rechacen el correo que falla las comprobaciones y que envíen los informes agregados a [email protected].

Comprobación	Resultado
Consultas DNS en SPF	2
Política (p)	reject
Informes (rua)	[email protected]

Preguntas frecuentes

¿Basta un registro SPF para frenar el correo falsificado?

No. SPF comprueba el servidor que envió un mensaje, no el nombre que ve el lector en la línea From. Combínelo con DKIM y con una política DMARC por encima de p=none.

¿Por qué falla mi registro SPF por tener demasiadas consultas?

Cada include, a, mx, ptr, exists y redirect cuesta una consulta DNS, y también cuentan los registros a los que llevan. Cuando el total supera 10, los receptores tratan SPF como un error. Quite los include que ya no usa, o use los rangos ip4 e ip6 que publica su proveedor, que no cuestan ninguna consulta.

¿Qué política DMARC debo usar?

Empiece con p=none y una dirección rua, lea los informes durante unas semanas y compruebe que su correo legítimo supera las comprobaciones. Después pase a quarantine y, cuando los informes estén limpios, a reject.

¿Qué es un selector DKIM?

Es el nombre que va antes de ._domainkey en un registro DKIM. Cada servicio de envío usa su propio selector, y un mensaje firmado lo nombra en la etiqueta s= de su cabecera DKIM-Signature. Abra las cabeceras de un mensaje que haya enviado para encontrarlo.

¿Qué significa el tamaño de la clave?

En una clave RSA es la longitud del módulo en bits, la forma habitual de escribir los tamaños de clave: 1024 o 2048. Si un registro se cortó o se dañó al copiarlo, la clave no puede leerse, y la página lo indica.

¿Este comprobador envía mi dominio a alguien?

Solo se envían a su resolutor DNS elegido, como preguntas DNS, los nombres que comprueba. No los guardamos, y el resto de la página permanece en su navegador.

Fuentes

Cifras y texto revisados por última vez el martes, 10 de noviembre de 2026.