Escriba su dominio o una dirección de correo. En uno a tres segundos comprobamos qué dice el DNS sobre su correo: quién puede enviar en su nombre, si los mensajes van firmados, qué deben hacer los destinatarios con una falsificación, adónde llega lo que le escriben y si alguno de sus servidores figura en una lista de bloqueo. No hace falta registrarse y no se envía ningún mensaje a su dominio.
…
Tres registros, tres tareas
Casi todo lo que se llama «autenticación de correo» son tres registros en el DNS. Cada uno responde a una pregunta distinta, y los tres hacen falta.
SPF dice quién puede
Una lista de los servidores autorizados a enviar correo con su dominio. El destinatario compara la dirección de origen con la lista. Falla en cuanto falta una vía de envío, y en cuanto la lista provoca más de diez consultas DNS deja de valer entera.
DKIM demuestra quién fue
Una firma criptográfica dentro del mensaje. Demuestra que salió de donde dice y que nadie lo ha alterado por el camino. A diferencia de SPF, sobrevive a los reenvíos.
DMARC dice qué hacer
La instrucción para el destinatario cuando un mensaje no se autentica: observar, apartar a spam o rechazar. Es la única de las tres que produce una consecuencia, y la única que le devuelve informes de lo que ocurre.
Los casos que siempre se malinterpretan
DMARC en p=none
Es el hallazgo más frecuente y el que más se confunde con estar protegido. Con p=none, el destinatario informa de las falsificaciones y las entrega igual. Es el punto de partida correcto y un mal punto final: mientras siga así, un correo falso con su nombre llega a la bandeja de entrada exactamente igual que el suyo. El paso siguiente no es técnico, es de lectura: abrir los informes, encontrar las vías de envío propias que todavía fallan y arreglarlas antes de subir a quarantine.
El SPF que se cayó sin avisar
Un registro SPF puede provocar como máximo diez consultas DNS. Pasado ese número, no se degrada: se descarta entero. El día que alguien añade el bloque de una herramienta nueva, el registro cruza el límite y deja de autorizar a nadie, incluido el proveedor de buzones que llevaba años funcionando. No hay ningún aviso y el registro sigue viéndose bien en el panel. Comprobamos ese recuento y le decimos el número exacto.
El logotipo que no aparece
BIMI muestra su logotipo junto al remitente, pero exige tres cosas antes: DMARC aplicado al cien por cien, un SVG en un perfil muy restrictivo y un certificado de marca. Falla una y no se ve nada, sin mensaje de error en ninguna parte. Casi siempre falla la primera, y entonces el trabajo de preparar el logotipo no sirve de nada todavía.
Los informes que nunca llegan
Si la dirección rua de su DMARC está en otro dominio, ese dominio tiene que publicar una autorización expresa. Sin ella, los proveedores descartan los informes sin decir nada. El registro parece correcto y usted cree estar recibiendo datos que no existen. Es un paso que se salta con frecuencia al contratar un servicio externo de análisis.
El dominio sin buzones
El .com de reserva, el dominio de una campaña antigua, la variante con guion. No reciben correo, así que nadie los mira, y por eso son un remitente cómodo de falsificar: nada impide escribir en su nombre. Cerrar uno son tres registros —MX nulo, v=spf1 -all y p=reject— y diez minutos.
Lo que este test no puede hacer
Preferimos decirlo antes que dejarlo implícito.
- DKIM no se puede adivinar del todo. En el DNS no está escrito qué selector usa un dominio: solo se pueden probar nombres conocidos. Conocemos los de los proveedores habituales de cinco mercados, pero no todos. Por eso «no encontrado» no significa «no existe». Para una respuesta segura, escriba el selector en el formulario o pegue las cabeceras de un mensaje real.
- STARTTLS y el certificado de su servidor no se miden. El envío SMTP saliente está cerrado en nuestro servidor de pruebas, así que no podemos abrir una conexión con el suyo. El informe lo indica como no medible, no como correcto.
- Spamhaus no se consulta. Responde a las consultas desde centros de datos solo con clave comercial; sin ella, su respuesta significa «consulta bloqueada» y no «limpio». Sí consultamos otras seis listas.
- Se mide un momento, y solo desde fuera. Los registros pueden cambiar diez minutos después, y lo que vemos es lo que ve cualquiera en internet, no lo que hay dentro de su servidor.
Cada tema explicado por separado
Cada hallazgo del informe lleva un enlace que salta al apartado exacto de la página correspondiente. Ahí encontrará qué se ha medido, por qué importa y qué hacer, con la ruta de menús de los proveedores habituales en España y Latinoamérica: Dinahosting, Arsys y acens, Webempresa, IONOS, Namecheap, Microsoft 365 y Google Workspace, además de los servicios de envío más usados.
SPF
La lista de servidores autorizados a enviar en su nombre, y los doce fallos que la dejan sin efecto.
Seguir leyendo →DKIM
La firma que viaja dentro del mensaje, por qué sobrevive a los reenvíos y por qué a veces no se encuentra.
Seguir leyendo →DMARC
Qué debe hacer el destinatario con un mensaje falsificado, y por qué p=none no es una respuesta.
Seguir leyendo →BIMI
Para que su logotipo aparezca en la bandeja de entrada hacen falta tres cosas, y ninguna es el registro.
Seguir leyendo →Recepción
Los registros MX son la dirección postal de su dominio. Qué pasa cuando faltan, apuntan mal o sobran.
Seguir leyendo →Listas de bloqueo
Qué listas consultamos, cuáles no y qué hacer si una dirección suya aparece en alguna.
Seguir leyendo →Cifrado
El cifrado entre servidores es opcional por defecto. MTA-STS lo convierte en obligatorio, y TLS-RPT le cuenta si funciona.
Seguir leyendo →Preguntas frecuentes
¿Cuesta algo y hay que registrarse?
No y no. Tres comprobaciones al día son gratuitas y no se pide ninguna cuenta. Solo se guarda el informe, que caduca a las 24 horas.
¿Recibe mi dominio algún correo por hacer la prueba?
No. La comprobación consulta el DNS y descarga, cuando procede, dos archivos por HTTPS: el logotipo de BIMI y la política de MTA-STS. No se envía ningún mensaje ni se entrega nada a su dominio.
Soy quien lleva la web de la empresa, no administrador de sistemas. ¿Me sirve esto?
Sí, está escrito para eso. Cada hallazgo termina en un apartado «Qué hacer» con la ruta concreta del panel de su proveedor. Lo que hay que editar son registros DNS, que se tocan en el mismo sitio donde gestiona el dominio.
¿Por dónde empiezo si sale mucho en rojo?
Por este orden: primero DMARC en p=none con una dirección de informes, porque no cambia nada y empieza a darle datos. Después SPF, que suele ser donde está el fallo silencioso. Después DKIM. BIMI y el cifrado en el transporte van al final: son mejoras, no urgencias.
¿Con qué frecuencia conviene repetirla?
Después de cada cambio que toque el correo —un proveedor nuevo, una herramienta de campañas, una migración— y una vez al trimestre por costumbre. La mayoría de los fallos de esta lista aparecen el día que alguien añade algo, no solos.