La conversación suele empezar así: “enviamos la propuesta el lunes y el cliente dice que nunca la recibió”. O: “la factura se envió, pero acabó en spam y ahora el pago lleva tres semanas de retraso”.
Quien oye estas frases tiende a tratarlas como accidentes. No lo son. En la inmensa mayoría de los casos son el resultado previsible de una configuración que falta. Y la buena noticia es que la solución es rápida, barata y permanente.
Este artículo explica, sin jerga, qué hay detrás. No tendrá que configurar nada. Tendrá que saber qué preguntar.
El problema que resuelven estas tres siglas
El correo electrónico se diseñó en los años ochenta, en una red donde todos se conocían. Por eso nació con una debilidad de serie: cualquier ordenador del mundo puede enviar un mensaje diciendo “soy su banco”, “soy su proveedor” o “soy el director financiero de su empresa”. El protocolo no pide credenciales. Acepta la afirmación.
Durante décadas, la respuesta fue el filtrado. Los sistemas receptores aprendieron a desconfiar, a analizar patrones y a enviar a spam todo lo que pareciera sospechoso. El efecto secundario lo conoce cualquier empresa: los mensajes legítimos también caen en la red.
SPF, DKIM y DMARC atacan este problema de raíz. En lugar de adivinar en quién confiar, permiten a cada organización declarar públicamente quién está autorizado a enviar en su nombre, y permiten a los sistemas receptores comprobar esa declaración.
Los tres, en lenguaje llano
Imagine una carta que llega a un mostrador de recepción.
SPF es la lista de quién puede enviar. La empresa publica, en un registro público de su dominio, qué servidores están autorizados a enviar mensajes en su nombre. Cuando llega un mensaje, el sistema receptor consulta la lista y comprueba si el remitente está en ella. Es el equivalente a tener en recepción una lista de mensajeros autorizados.
DKIM es el sello de lacre. Cada mensaje enviado lleva una firma criptográfica que solo la organización puede producir. El destinatario comprueba la firma y sabe dos cosas: que el mensaje vino realmente de quien dice haberlo enviado, y que nadie lo manipuló por el camino. Es el sello del sobre.
DMARC es la instrucción sobre qué hacer cuando algo falla. Sin él, cada sistema decide por su cuenta. Con él, la organización dice explícitamente: si un mensaje afirma venir de mí y no supera las comprobaciones, ignórelo, póngalo en cuarentena o recházelo. Y, lo que es crucial, DMARC devuelve informes: se hace posible ver quién está intentando enviar mensajes en nombre de la empresa.
Los tres trabajan juntos. Por separado, cada uno resuelve la mitad del problema.
Qué cambió en 2024 y 2025
Durante años, esto se trató como una recomendación técnica. Ya no.
En febrero de 2024, Google y Yahoo empezaron a exigir SPF, DKIM y DMARC a quien envíe más de cinco mil mensajes al día a sus buzones de consumidores, con una tasa de quejas por spam inferior al 0,3 % y un mecanismo de baja con un solo clic. En mayo de 2025, Microsoft adoptó requisitos equivalentes y empezó a rechazar los mensajes no conformes en sus servicios de consumo.
En términos de gestión: los mayores operadores de correo del mundo dejaron de tratar la autenticación como una preferencia y empezaron a tratarla como una condición para la entrega. Una organización sin estas configuraciones no solo se arriesga a la carpeta de spam. Se arriesga al rechazo directo.
Lo que cuesta cuando no se hace
El daño rara vez aparece en una factura, y por eso pasa desapercibido.
| Síntoma | Coste real |
|---|---|
| Propuestas comerciales que acaban en spam | Operaciones perdidas sin saber nunca por qué |
| Facturas que no llegan | Pagos atrasados y tiempo del departamento financiero dedicado a reenviar |
| Clientes que preguntan “¿este correo es realmente suyo?” | Horas de atención al cliente, y desconfianza hacia la marca |
| Terceros que usan el dominio para phishing | Daño reputacional, y una reputación del dominio degradada |
| Campañas con tasas de apertura extremadamente bajas | Gasto en comunicación sin retorno |
El último punto merece especial atención por parte de quien comunica con regularidad. Un boletín con una tasa de apertura muy baja casi siempre se interpreta como un fallo de contenido. A menudo es un fallo de autenticación: el mensaje no llegó a la bandeja principal, acabó en la carpeta de promociones o de spam, y nadie lo vio para abrirlo.
Un paso más: hacer que la marca aparezca en la bandeja de entrada
Cuando los tres están bien configurados, se abre una posibilidad adicional: BIMI, que permite que el logotipo de la organización aparezca junto a sus mensajes en la bandeja de entrada del destinatario.
No es un detalle cosmético. En una lista de treinta mensajes en blanco y negro, el que lleva logotipo destaca antes de ser leído. Y funciona como señal de legitimidad: los sistemas compatibles con BIMI solo muestran el logotipo a los remitentes con la autenticación en regla, lo que convierte su presencia en una pequeña garantía de que el mensaje es auténtico.
Qué preguntar a quien gestiona su correo
No necesita saber configurarlo. Necesita hacer cinco preguntas, y exigir respuestas claras:
- ¿Nuestro dominio tiene SPF, DKIM y DMARC configurados? Si la respuesta es “creo que sí”, no los tiene.
- ¿Qué política tiene configurada nuestro DMARC? Las opciones son no hacer nada, cuarentena o rechazo. Muchas organizaciones se quedan años en la primera, que sirve para observar pero no protege.
- ¿Quién recibe y lee los informes DMARC? Son los que revelan los intentos de uso indebido del dominio. Sin alguien que los lea, el mecanismo solo funciona a medias.
- ¿Están autorizados todos los servicios que envían en nuestro nombre? Plataformas de boletines, sistemas de facturación, CRM, tiendas online. Aquí es donde casi siempre aparecen las sorpresas.
- ¿Quién se responsabiliza de esta configuración, y la mantiene? Los dominios cambian, los proveedores cambian, entran servicios nuevos. Una configuración que era correcta en 2023 puede estar incompleta hoy.
La conclusión, en dos líneas
No es un asunto técnico que la dirección pueda delegar y olvidar. Es la diferencia entre que las comunicaciones de la organización lleguen o no, y entre que la marca se use para engañar a los clientes o no.
Configurarlo lleva horas. No configurarlo le cuesta negocio cada mes, y nadie puede ponerle una cifra.