Correo
Tres mecanismos, tres letras cada uno, que evitan que tu correo caiga en spam o que alguien lo suplante: SPF, DKIM y DMARC.
El problema que resuelven
El correo electrónico se diseñó hace décadas, sin ninguna comprobación de identidad: cualquier servidor puede escribir el remitente que quiera en un correo, igual que cualquiera puede escribir cualquier nombre en el remite de un sobre de papel. Gmail, Outlook y el resto de proveedores necesitan alguna forma de verificar que un correo que dice venir de tu dominio es realmente tuyo antes de entregarlo en la bandeja de entrada. Para eso existen tres mecanismos que se complementan entre sí.
SPF — la lista de invitados
SPF es un registro en el DNS de tu dominio que dice qué servidores tienen permiso para enviar correo en su nombre. Cuando un correo llega diciendo ser de tu dominio, el proveedor receptor comprueba esa lista: si el servidor que lo envió no está en ella, ya sabe que algo no cuadra.
Es como la lista de invitados en la puerta de una fiesta: quien no está apuntado, no entra por las buenas.
DKIM — el sello lacrado
DKIM añade una firma digital invisible a cada correo que sale de tu dominio. El proveedor que lo recibe comprueba esa firma contra una clave pública, publicada también en el DNS de tu dominio. Si coincide, confirma dos cosas a la vez: que el correo salió realmente de un servidor autorizado de tu dominio, y que nadie ha modificado el contenido por el camino.
Es como el sello de lacre de una carta antigua: si está intacto y es el tuyo, el contenido es auténtico.
DMARC — la política y el aviso
DMARC entra en juego cuando un correo no pasa ni SPF ni DKIM. Le dice al proveedor receptor qué hacer en ese caso: no hacer nada especial (modo observación), mandarlo directamente a spam (cuarentena), o rechazarlo sin entregarlo (bloqueo total). También puede pedir que le envíen informes periódicos con quién está intentando mandar correo en nombre de tu dominio, lo que ayuda a detectar intentos de suplantación antes de endurecer nada.
Lo habitual, y lo más prudente, es empezar en modo observación durante unas semanas y subir el nivel de exigencia poco a poco, para no arriesgarte a bloquear correo legítimo por error.
¿A qué correo afecta esto?
Los tres se configuran por dominio, no por buzón. Un mismo conjunto de registros SPF, DKIM y DMARC cubre todos los buzones de un dominio a la vez — info@, contacto@, o el que sea — así que no hace falta repetir nada al crear un buzón nuevo dentro de un dominio que ya los tiene configurados.
Tampoco cubren todo el servidor de golpe: cada dominio alojado tiene sus propios registros, independientes entre sí. Si tienes tu propio dominio y creas un correo en él, ese dominio necesita su propia configuración de SPF, DKIM y DMARC — son registros que viven en el DNS de tu dominio, no algo que se herede automáticamente de otros dominios alojados en el mismo servidor.