Email DNS Checker: SPF, DKIM y DMARC
Esta herramienta gratuita de verificación de DNS de correo busca los registros MX de un dominio, el registro SPF, la política DMARC y las claves DKIM y califica cada uno: ¿está SPF presente exactamente una vez y dentro del límite de diez búsquedas?, ¿DMARC aplica una política y recopila reportes?, ¿un selector DKIM publica una clave? Cada fallo viene con el registro a añadir. Úsalo cuando el correo llega a spam o rebota.
Email DNS Checker
Domain and Server
Sobre esta herramienta
Desde 2024 Gmail, Yahoo y Microsoft requieren que los remitentes autentiquen el correo con SPF y DKIM y publiquen una política DMARC, y el correo que falla se envía a spam o se rechaza. La mayoría de pequeñas empresas descubren esto cuando las cotizaciones y facturas dejan de llegar. Los registros viven en DNS, donde un error tipográfico, un segundo registro SPF o un include olvidado rompe todo silenciosamente.
El verificador consulta el DNS del dominio directamente. Lista los registros MX e identifica el proveedor de correo cuando puede. Encuentra el registro TXT que comienza con v=spf1, verifica que haya exactamente uno, analiza sus mecanismos, cuenta los que cuestan una búsqueda DNS contra el límite de diez, y lee el calificador all. Obtiene _dmarc.domain y lee la política, política de subdominio, porcentaje, direcciones de reporte y configuración de alineación. Para DKIM busca el selector que proporcionas, o intenta una lista de selectores comunes, y confirma que se publica una clave pública.
DNS solo puede mostrar lo que está publicado, no si tu servidor de correo realmente firma con la clave o si las direcciones en tu SPF son las que realmente envían. Los selectores DKIM son privados para cada remitente, así que un dominio puede estar perfectamente configurado con un selector que la herramienta no adivinó: ingrésalo desde la configuración de tu proveedor de correo. Una política DMARC de none cumple el requisito básico pero no protege a nadie; el verificador lo indica.
Preguntas frecuentes
¿Qué hace cada uno: SPF, DKIM y DMARC?
SPF lista los servidores permitidos para enviar correo por tu dominio. DKIM añade una firma criptográfica a cada mensaje para que los receptores verifiquen que no fue alterado y proviene de ti. DMARC indica a los receptores qué hacer cuando ambos fallan (nada, cuarentena o rechazar) y dónde enviar reportes. Necesitas los tres.
¿Por qué más de un registro SPF es un problema?
El estándar SPF dice que un dominio debe tener exactamente un registro que comience con v=spf1; los receptores tratan dos como un error permanente y fallan la verificación. Generalmente ocurre cuando un segundo servicio añade su propio registro en lugar de fusionarse en el primero. Combina cada include en un solo registro que termine con ~all o -all.
¿Cuál es el límite de 10 búsquedas de SPF?
Los receptores dejan de evaluar SPF después de diez búsquedas DNS causadas por include, a, mx, ptr, exists y redirect, y devuelven un error permanente. Cada include puede traer más búsquedas propias. Elimina servicios que ya no uses, reemplaza includes con entradas ip4 donde sea posible, o usa un servicio de aplanamiento SPF.
¿Qué política DMARC debo usar?
Comienza con p=none y una dirección rua= para recopilar reportes durante algunas semanas, corrige cualquier remitente legítimo que falle, luego pasa a p=quarantine y finalmente p=reject. p=none satisface el requisito de Gmail y Yahoo pero no detiene a nadie de suplantar tu dominio; reject es el objetivo.
¿Cómo encuentro mi selector DKIM?
Está en las instrucciones de configuración DNS de tu proveedor de correo: Google Workspace usa google, Microsoft 365 usa selector1 y selector2, Zoho y otros te dejan elegir. También puedes abrir los encabezados de un mensaje enviado y leer el valor s= en la línea DKIM-Signature. Ingrésalo en el campo selector para verificar esa clave exacta.