Señales de correo (SPF, DKIM y DMARC) para no técnicos

En analitik medimos esos registros. No medimos si un presupuesto concreto aterrizó en spam. Decir «tu correo va a spam» sin esa medición sería inventar.

Si el registro no se pudo leer, el estado es no medido.

SPF (Sender Policy Framework). Una lista pública de servidores autorizados a enviar correo con tu dominio. Si un servidor no está en la lista, SPF no lo reconoce. Un SPF «permisivo» o mal cerrado no bloquea gran cosa: avisa poco y deja pasar.

DKIM (DomainKeys Identified Mail). Una firma criptográfica que viaja con el mensaje. El receptor puede comprobar que el contenido no se alteró y que la clave encaja con el dominio. Sin DKIM, no hay esa firma. No significa que el mensaje «sea falso»; significa que no trae ese sello.

DMARC (Domain-based Message Authentication, Reporting and Conformance). La política que une las dos anteriores. Dice qué hacer cuando SPF o DKIM no cuadran: no hacer nada (`p=none`, solo informes), meter en cuarentena o rechazar. `p=none` no impide que alguien envíe haciéndose pasar por ti; solo deja rastro si configuraste los reportes.

Las tres viven en el DNS. Las pone quien administra el dominio (el informático, el proveedor de correo, a veces el de la web). No están en Gmail como un botón de «activar seguridad».

Un informe honesto no suelta «email hackeado». Suelta estados. SPF: ausente / permisivo / alineado (quién está autorizado a enviar). DKIM: ausente / presente, con el selector visto (hay firma publicada o no). DMARC: ausente / `p=none` / `p=quarantine` o `p=reject` (qué política hay, no si «llega»). MX: ausente / presente (hay buzón declarado en el dominio).

dominio `clinicaejemplo.example`, DNS medido el fecha. SPF: el dato medido. DKIM: el dato medido. DMARC: el dato medido. Bandeja de un cliente: no medido.

«Ausente» es rojo: se preguntó al DNS y no hay registro. «No medido» es gris: timeout, DNS que no respondió, no se consultó. No se rellenan con un 0.

Tampoco se afirma que un DMARC en rechazo «suba la entregabilidad un X %». X pide estudio con fuente y fecha. Aquí no lo tenemos.

Copia el dominio (el de la web, no el de Gmail personal). Pide a quien os montó el correo: «¿están SPF, DKIM y DMARC? ¿En qué política está DMARC?».

Si ya hay un PDF de captación, pásale la página de arreglos: pasos copia-pega, no un discurso. Él pega; tú no tienes que aprender DNS.

No pases de `p=none` a `p=reject` el viernes sin saber qué sistemas envían (pasarela, newsletter, facturas, el programa de citas). Un rechazo bienintencionado puede tirar correo legítimo. El orden habitual es publicar, vigilar informes, endurecer. El detalle lo marca quien opera el DNS.

Si usáis un correo `@gmail.com` para el negocio y el dominio de la web no envía, las tres señales del dominio no hablan de ese Gmail. Hablan del nombre que está en la lona. Mezclarlos es el error más común.

El cliente no ve el DNS. Ve si le llega un presupuesto, una cita o un «tu pedido salió». Cuando el dominio no firma, el riesgo es de suplantación (alguien usa tu nombre) y de pérdida de mensajes que no puedes contar.

Por eso está en los 6 puntos, junto a la web y las reseñas: es medible, es público y no es una keyword.

El Informe de Captación lo traduce a lenguaje llano. Las preguntas lo delimitan: medimos el correo del dominio, no operamos tu buzón. Una gestoría o una tienda lo sufren igual que una clínica: el PDF y la factura salen de ese nombre.