SPF, DKIM y DMARC: por qué tus correos llegan a spam y cómo arreglarlo

«Mis correos llegan a spam» es una de las consultas más frecuentes que recibimos. En nueve de cada diez casos el problema no es el servidor ni el contenido del mensaje: es que el dominio no está bien autenticado. Desde 2024, Gmail y Yahoo lo exigen a quien envía correo a sus usuarios, y Microsoft ha ido en la misma dirección.

Los tres, en cristiano

SPF

Un registro TXT en tu dominio. Ejemplo para un dominio que envía desde su hosting y desde Microsoft 365:

v=spf1 +a +mx include:spf.protection.outlook.com ~all

DKIM

Lo genera el servicio que envía tus correos. En cPanel, en Email Deliverability; en Microsoft 365, en el portal de Defender. Te da uno o dos registros (TXT o CNAME) que tienes que publicar en tu DNS. Si usas varios servicios, cada uno tiene su propia clave DKIM.

DMARC

Empieza en modo observación para no bloquear nada sin querer:

_dmarc.tuempresa.es  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.es"

1. Semanas 1–4: p=none. Recibes informes y descubres quién envía en tu nombre.
2. Cuando todo cuadre: p=quarantine. Lo que falle va a spam.
3. Al final: p=reject. Nadie puede suplantar tu dominio.

Cómo comprobarlo

• Envía un correo a una cuenta de Gmail, ábrelo y en «Mostrar original» mira si SPF, DKIM y DMARC dicen PASS.
• Consulta tus registros con dig tuempresa.es TXT +short y dig _dmarc.tuempresa.es TXT +short.
• Herramientas como MXToolbox revisan todo de una vez.

Otras causas de spam

Si todo lo anterior está bien y sigues en spam: revisa si la IP del servidor está en listas negras, no envíes newsletters masivas desde el correo del hosting (usa una herramienta de email marketing) y cuida el contenido (asuntos en mayúsculas, solo una imagen, enlaces acortados).