Verificador SPF, DKIM &
DMARC
Los tres registros DNS que deciden si tu correo cae en la bandeja de entrada o en spam; pegados, desarmados y explicados línea por línea en lenguaje claro. Sin registro, y nada de lo que pegues sale de tu navegador.
Cada casilla es opcional.
Pega las que encuentres.
Quién puede enviar correo como tu dominio.
La clave pública que los receptores usan para verificar tu firma.
Qué deben hacer los receptores cuando un mensaje falla las comprobaciones.
¿Quieres los registros en vivo? Eso requiere una terminal
Una nota honesta: una página de navegador no puede consultar DNS directamente, así que esta herramienta lee lo que pegas. Para traer los registros reales, abre una terminal y ejecuta estos, luego pega las respuestas arriba.
Conecta tu dominio a Yetty y el lado DNS de tu sitio queda guiado registro por registro; verificado por ti, SSL automático, salud monitorizada.
Tres registros deciden
si creen en tu correo
SPF, la lista de invitados
Una lista pública de servidores autorizados a enviar correo como tu dominio. Cualquiera que no esté en ella parece sospechoso.
DKIM, el sello de cera
Cada mensaje se firma criptográficamente; la clave pública en DNS deja que los receptores comprueben que el sello sigue intacto.
DMARC, las reglas de la casa
Tu instrucción publicada para el correo que falla: déjalo pasar, ponlo en cuarentena o recházalo, más informes de vuelta a ti.
La regla de las 10 consultas
Los receptores dejan de evaluar SPF tras 10 consultas DNS. Cada include, a, mx y redirect cuesta una; pásate y SPF se rompe en silencio.
~all vs -all
El veredicto para remitentes no listados: ~all dice "sospecha", -all dice "rechaza". +all dice "cualquiera puede suplantarme"; nunca lo uses.
Informes (rua)
Una dirección rua= en DMARC recibe resúmenes diarios de quién envía como tu dominio; la única visibilidad que tienes sobre la suplantación.
Preguntas de DNS de correo que todos hacen
¿Por qué mis correos van a spam?
Suele ser porque los servidores receptores no pueden verificar quién los envió. Tres registros DNS lo arreglan: SPF lista los servidores autorizados a enviar por tu dominio, DKIM añade una firma criptográfica y DMARC dice a los receptores qué hacer cuando un mensaje falla ambos. Gmail y Yahoo ahora exigen los tres a quien envía en volumen; un registro ausente o roto es la causa más común de que el correo legítimo caiga en spam.
¿Qué significa ~all frente a -all en SPF?
Es la instrucción para el correo de servidores que NO están en tu lista. ~all (softfail) dice "trátalo con sospecha"; los receptores suelen dejarlo pasar pero le bajan la puntuación. -all (hardfail) dice "recházalo de plano". Empieza con ~all mientras confirmas que todo remitente legítimo está listado, y luego endurece a -all. +all significa "cualquiera puede enviar como yo" y en la práctica es ninguna protección.
¿Necesito DMARC si ya tengo SPF y DKIM?
Sí. SPF y DKIM solo publican pruebas; DMARC es la política que dice a los receptores qué hacer con el correo que falla, y es el único de los tres que impide que desconocidos falsifiquen tu from exacto. Incluso un registro relajado p=none vale la pena: activa los informes agregados, así ves quién envía como tu dominio antes de endurecer la política.