En resumen
SPF dice qué servidores pueden enviar correo con tu dominio, DKIM firma cada mensaje para probar que no fue alterado y DMARC le dice al receptor qué hacer si ninguno de los dos coincide con el remitente visible. En cPanel, SPF y DKIM se crean desde Correo › Entregabilidad del correo; DMARC se agrega como registro TXT en _dmarc.tudominio. Empieza con p=none para recibir informes y sube a p=quarantine y p=reject cuando todo tu correo legítimo pase.
Qué hace cada registro
| Registro | Qué verifica | Dónde vive |
|---|---|---|
| SPF | Que la IP que envía esté autorizada por el dominio del sobre (Return-Path) | TXT en tudominio.cl |
| DKIM | Que el mensaje no cambió y lo firmó el dominio | TXT en selector._domainkey.tudominio.cl (en cPanel, default._domainkey) |
| DMARC | Que SPF o DKIM pasen con el mismo dominio que ve el usuario en el From, y qué hacer si no | TXT en _dmarc.tudominio.cl |
SPF y DKIM por separado no impiden que alguien use tu dominio en el From. Solo DMARC une las piezas con el remitente visible, y por eso es el registro que más protege contra la suplantación.
La herramienta Entregabilidad del correo
- Entra a cPanel › Correo › Entregabilidad del correo (Email Deliverability). En WHM existe la misma herramienta para revisar todos los dominios.
- Cada dominio muestra "Válido" o "Existen problemas". Abre Administrar en los que tengan problemas.
- Si el DNS está en el mismo servidor, el botón Reparar crea o corrige SPF y DKIM automáticamente.
- Si el DNS está en otro proveedor (Cloudflare, el registrador del dominio, NIC Chile u otro), copia los registros sugeridos y créalos allí a mano.
SPF: autorizar a los servidores que envían
Un registro SPF lista las IPs y servicios que pueden enviar con tu dominio. Ejemplo para un dominio que envía desde su servidor cPanel y desde un servicio de campañas:
tudominio.cl. TXT "v=spf1 +a +mx ip4:203.0.113.10 include:spf.servicio-campanas.com ~all"- Un solo registro SPF por dominio. Dos registros
v=spf1invalidan ambos. - Máximo 10 consultas DNS. Cada
include,a,mxyredirectcuenta, incluidas las anidadas. Si te pasas, SPF da error (permerror) y se trata como si no existiera. - `~all` o `-all`.
~all(softfail) marca lo no autorizado como sospechoso;-all(fail) lo rechaza. Con DMARC activo,~alles suficiente y evita problemas con reenvíos. - No incluyas servicios que ya no usas. Cada include autoriza a todos los clientes de ese servicio a enviar como tú.
DKIM: firmar cada mensaje
cPanel genera una clave DKIM por dominio con el selector default. La clave privada queda en el servidor y Exim firma cada correo saliente; la pública se publica en DNS:
default._domainkey.tudominio.cl. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...IDAQAB"- Usa claves de 2048 bits. En DNS externos el valor es largo; algunos paneles lo dividen en varias cadenas entre comillas, lo que es correcto.
- Copia el valor completo y sin caracteres extra. Un espacio o un carácter invisible en medio de la clave hace que DKIM falle en algunos receptores.
- Si rotas la clave en el servidor, publícala de nuevo en DNS. Es el error más común cuando el DNS está fuera de cPanel.
- Cada servicio externo firma con su propio selector. Tu servicio de campañas te dará su propio registro DKIM; no reemplaza al de cPanel.
DMARC: la política y los informes
Crea un registro TXT en _dmarc.tudominio.cl (en cPanel: Dominios › Editor de zona). Para empezar, solo con monitoreo:
_dmarc.tudominio.cl. TXT "v=DMARC1; p=none; rua=mailto:dmarc@tudominio.cl; adkim=r; aspf=r"| Etiqueta | Para qué sirve | Valores |
|---|---|---|
| p | Qué hacer con el correo que falla | none (solo informar), quarantine (a spam), reject (rechazar) |
| rua | A dónde enviar los informes diarios agregados | mailto:dirección |
| sp | Política para los subdominios | Igual que p; si no se indica, hereda p |
| pct | Porcentaje del correo al que se aplica la política | 1 a 100, útil para subir de a poco |
| adkim / aspf | Alineación estricta (s) o relajada (r) | r permite subdominios del mismo dominio |
Cómo llegar a p=reject sin perder correo
- Semanas 1 a 4: `p=none`. Lee los informes rua (un servicio de análisis DMARC los vuelve legibles) y anota todos los servicios que envían con tu dominio: servidor, facturación electrónica, CRM, campañas, formularios web.
- Corrige cada fuente agregándola a SPF o configurando su DKIM con tu dominio.
- `p=quarantine; pct=25`, y sube el porcentaje a 100 en unas semanas si no aparecen fallos legítimos.
- `p=reject`. Desde aquí nadie puede enviar correo con exactamente tu dominio sin estar autorizado.
En Chile, revisa con especial cuidado el sistema de facturación o boleta electrónica: muchos envían los documentos tributarios en nombre de tu dominio y son lo primero que se rompe con p=reject.
Cómo verificar
# SPF
dig +short TXT tudominio.cl | grep spf1
# DKIM (selector default de cPanel)
dig +short TXT default._domainkey.tudominio.cl
# DMARC
dig +short TXT _dmarc.tudominio.clDespués, envía un correo a Gmail y revisa en Mostrar original que aparezcan SPF, DKIM y DMARC con PASS. Cómo interpretar el resultado: cómo leer los encabezados de un correo.
Errores frecuentes
| Error | Síntoma | Solución |
|---|---|---|
| Dos registros SPF | spf=permerror | Unirlos en uno solo |
| Más de 10 consultas en SPF | spf=permerror en algunos receptores | Quitar includes que no se usan o reemplazarlos por ip4 |
| DKIM rotado y no publicado | dkim=fail en todos los correos | Copiar la clave actual desde Entregabilidad del correo |
| DMARC en el dominio equivocado | dmarc=none aunque exista el registro | Debe estar en _dmarc.tudominio, no en tudominio |
| p=reject sin revisar informes | Facturas o correos de formularios rechazados | Volver a p=none y agregar las fuentes que faltan |
Preguntas frecuentes
¿Qué es mejor en SPF, ~all o -all?
Con DMARC activo, ~all es suficiente y evita problemas con reenvíos. -all es más estricto, pero DMARC es quien decide la política final.
¿Dónde está la clave DKIM en cPanel?
En Correo › Entregabilidad del correo › Administrar, para cada dominio. El selector es default, así que el registro va en default._domainkey.tudominio.
¿Cuánto tarda en funcionar DMARC?
El registro funciona en cuanto se propaga en DNS, normalmente minutos. Los primeros informes llegan al día siguiente.
¿Puedo usar p=reject desde el primer día?
No es recomendable. Sin revisar los informes, puedes bloquear correo legítimo de servicios que envían en tu nombre, como la facturación electrónica o el CRM.
Protege el correo entrante de todo tu servidor
Clisec valida SPF, DKIM y DMARC de cada correo entrante y bloquea la suplantación en todo tu servidor cPanel, sin cambiar registros MX.