SPF, DKIM y DMARC en tiendas en línea: reglas de Gmail y Yahoo

Qué hacen SPF, DKIM y DMARC, qué exigen Gmail, Yahoo y Outlook.com, cómo configurarlos en Shopify y WooCommerce y cómo llegar a p=reject paso a paso.

Equipo editorial de FixReports12 min de lectura

Para cumplir las reglas de Gmail y Yahoo para remitentes, toda tienda en línea necesita SPF o DKIM en su dominio de envío, y los remitentes masivos necesitan ambos, además de un registro DMARC de al menos p=none con el dominio visible del remitente (From) alineado con SPF o DKIM. Los remitentes masivos también deben ofrecer la baja con un clic en los correos de marketing y mantener su tasa de spam reportada por debajo de 0.3%. En Shopify, eso significa autenticar tu dominio de remitente en el panel de administración y agregar un registro DMARC; en WooCommerce, significa enviar a través de un proveedor de correo autenticado. Cuando los informes DMARC muestren que todo tu correo legítimo pasa, puedes avanzar la política hacia p=reject.

Puntos clave

¿Qué hacen realmente SPF, DKIM y DMARC?

SPF indica quién puede enviar correo en nombre de tu dominio, DKIM firma cada mensaje y DMARC vincula ambos con la dirección del remitente (From) que ven tus clientes.

RegistroQué demuestraDónde se publicaEstándar
SPFEl servidor de envío está autorizado para el dominio usado en el sobre (MAIL FROM)Registro TXT en el dominioRFC 7208 (se abre en una pestaña nueva)
DKIMEl mensaje fue firmado por el dominio y no se modificó en tránsitoRegistro TXT en selector._domainkey.example.comRFC 6376 (se abre en una pestaña nueva)
DMARCSPF o DKIM pasaron para un dominio alineado con el dominio visible del remitente; indica a los receptores qué hacer si falla y adónde enviar los informesRegistro TXT en _dmarc.example.comRFC 9989 (se abre en una pestaña nueva)

La alineación es fácil de pasar por alto. Tu plataforma de correo puede pasar SPF con su propio dominio de rebote mientras tu dirección de remitente muestra el dominio de tu tienda. Ese mensaje pasa SPF, pero falla DMARC, a menos que DKIM esté firmado con tu dominio.

¿Qué exigen Gmail y Yahoo a los remitentes?

Ambos exigen autenticación a todos los remitentes y agregan reglas más estrictas para los remitentes masivos.

Para todos los remitentes, Gmail exige SPF o DKIM, DNS directo e inverso válidos, TLS, formato según RFC 5322 y una tasa de spam inferior a 0.3% en Postmaster Tools (Google (se abre en una pestaña nueva)). Yahoo exige al menos SPF o DKIM y una tasa de spam inferior a 0.3% (Yahoo Sender Hub (se abre en una pestaña nueva)). Para los remitentes masivos:

RequisitoGmailYahoo
SPF y DKIMAmbosAmbos
DMARCObligatorio; la política puede ser nonePolítica válida de al menos p=none, y DMARC debe pasar
AlineaciónDominio del remitente (From) alineado con el dominio de SPF o de DKIMIgual; se acepta la alineación relajada
Baja con un clicMensajes de marketing y de suscripción, según RFC 8058, más un enlace visibleEncabezado List-Unsubscribe con baja con un clic para mensajes de marketing y de suscripción
Respetar las bajasEn un plazo de 48 horas (recomendado)En un plazo de 2 días
Tasa de spamInferior a 0.3%; Google recomienda menos de 0.10%Inferior a 0.3%

Algunos detalles son importantes para las tiendas:

  • Gmail cuenta por dominio. Los mensajes del mismo dominio principal cuentan para el límite de 5,000, así que los correos de pedidos, el marketing y las respuestas de soporte se suman.
  • Solo cuentan las cuentas personales de Gmail. Las directrices no se aplican a los mensajes enviados a cuentas de Google Workspace.
  • El correo transaccional está exento de la baja con un clic. Las confirmaciones de pedido igual necesitan autenticación.

La baja con un clic usa dos encabezados definidos en RFC 8058 (se abre en una pestaña nueva), que además exige una firma DKIM válida que los cubra:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Para confirmar que tu plataforma de marketing los agrega, abre el código fuente sin procesar de una de tus propias campañas.

¿Qué cambió después de febrero de 2024?

La aplicación de las reglas se ha endurecido por etapas, y otros proveedores de correo han adoptado reglas similares.

FechaCambioFuente
Febrero de 2024Entran en vigor los requisitos de Gmail y Yahoo (Yahoo empezó a aplicarlos de forma gradual)Google (se abre en una pestaña nueva), Yahoo (se abre en una pestaña nueva)
Junio de 2024Gmail: los remitentes masivos con una tasa de spam superior a 0.3% dejan de ser elegibles para la mitigaciónPreguntas frecuentes de Gmail (se abre en una pestaña nueva)
1 de junio de 2024Plazo de Gmail para la baja con un clic en el caso de remitentes que ya tenían un enlace para darse de bajaPreguntas frecuentes de Gmail (se abre en una pestaña nueva)
5 de mayo de 2025Requisitos de Outlook.com para dominios que envían más de 5,000 correos al día; la actualización de Microsoft del 29 de abril indica que los mensajes que no cumplen se rechazan con 550 5.7.515Microsoft (se abre en una pestaña nueva)
Noviembre de 2025Gmail intensifica la aplicación de las reglas, con rechazos temporales y permanentesPreguntas frecuentes de Gmail (se abre en una pestaña nueva)
Mayo de 2026RFC 9989 deja obsoleto el RFC 7489 como especificación de DMARCIETF (se abre en una pestaña nueva)

Las reglas de Outlook.com se aplican a sus direcciones personales (outlook.com, hotmail.com y live.com) y exigen que SPF y DKIM pasen y un DMARC de al menos p=none alineado con SPF o DKIM.

¿Cómo se configuran SPF, DKIM y DMARC en Shopify?

Autentica tu dominio de remitente en el panel de administración de Shopify y luego agrega un registro DMARC en tu proveedor de DNS.

La guía de configuración del correo (se abre en una pestaña nueva) de Shopify indica que, desde el 1 de febrero de 2024, Gmail y Yahoo exigen un dominio autenticado y un registro DMARC para enviar desde una dirección con tu marca. Si los registros de autenticación no están configurados, Shopify reescribe tu dirección de remitente con el formato store+123@shopifyemail.com. Los pasos:

  1. En el panel de administración de Shopify, ve a Settings > Notifications (Configuración > Notificaciones).
  2. En la sección Sender email (correo electrónico del remitente), haz clic en authenticate your domain (autenticar tu dominio).
  3. Agrega en tu proveedor de DNS todos los registros CNAME que aparecen. La cantidad puede variar. Shopify indica que estos registros se encargan de SPF y DKIM para tu dirección de remitente y que no necesitas agregar direcciones IP.
  4. Espera hasta 48 horas a que se apliquen los cambios de DNS.
  5. Agrega un registro TXT con el nombre _dmarc y el valor v=DMARC1; p=none;, que Shopify usa como valor predeterminado.

Si compraste tu dominio en Shopify o lo transferiste ahí, Shopify administra estos registros por ti. Shopify también advierte que un dominio solo puede tener un registro DMARC y que los ajustes de alineación estricta (adkim=s o aspf=s) deben eliminarse o cambiarse a r.

La autenticación de Shopify cubre el correo que envía Shopify. Si usas otra plataforma para tus campañas, una mesa de ayuda o Google Workspace para el correo de tu equipo, cada una necesita su propia configuración de DKIM y, cuando usa tu dominio para los rebotes, su propia entrada en SPF.

¿Cómo se configura la autenticación de correo en WooCommerce?

Envía el correo de WooCommerce a través de un proveedor dedicado que firme con tu dominio, como recomienda la propia documentación de WooCommerce.

WooCommerce envía el correo con la función wp_mail() de WordPress, y sus preguntas frecuentes sobre correo (se abre en una pestaña nueva) recomiendan un proveedor SMTP dedicado por ser más confiable que la función de correo de tu propio servidor. Una configuración típica:

  1. Elige un proveedor de correo transaccional y verifica tu dominio con él. El proveedor te da los registros DKIM y el include de SPF que debes publicar.
  2. Conecta WordPress con ese proveedor mediante un plugin de SMTP o de API.
  3. En WooCommerce > Settings > Emails (ajustes de correos electrónicos), define como From address (dirección del remitente) una dirección de tu propio dominio. WooCommerce advierte que es probable que una dirección pública, como una de Gmail o Yahoo, termine en spam o sea bloqueada.
  4. Publica un registro DMARC en _dmarc.yourdomain.
  5. Revisa WooCommerce > Status > Logs (estado y registros) y filtra por el origen transactional-emails para ver qué mensajes se enviaron y cuáles fallaron.

Si tu proveedor de hosting también envía correo con tu dominio, autentícalo o desactívalo. Cualquier sistema que envíe como tu dominio sin SPF o DKIM alineados fallará DMARC.

¿Qué es el límite de 10 consultas de SPF y cómo no superarlo?

Una verificación SPF puede usar como máximo 10 términos que requieran consultas DNS; con uno más, el resultado es permerror, así que SPF no pasa.

La sección 4.6.4 del RFC 7208 (se abre en una pestaña nueva) enumera los términos que cuentan: los mecanismos include, a, mx, ptr y exists y el modificador redirect. Los mecanismos ip4, ip6 y all no cuentan. Los include anidados dentro de tus include también cuentan, porque el límite se aplica a toda la evaluación. El RFC también recomienda limitar a dos las “consultas vacías” (void lookups, es decir, consultas que no devuelven respuesta) e indica que el mecanismo ptr no debería publicarse.

Formas de mantenerte por debajo de 10:

  • Elimina los include de servicios que ya no usas.
  • Usa ip4 o ip6 para los servidores propios con direcciones fijas.
  • Pasa el correo de marketing a un subdominio como news.example.com, que tiene su propio registro SPF y su propio conteo.
  • Nunca publiques dos registros SPF. El RFC 7208 prohíbe tener varios registros y, si los hay, la evaluación devuelve permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com y spf.example-marketing.com representan los valores que te indiquen tus proveedores.

¿Cómo pasar DMARC de p=none a p=reject?

Empieza con p=none y con los informes activados, corrige cada fuente legítima que revelen los informes y luego endurece la política.

EtapaRegistroObjetivo
1. Monitorearv=DMARC1; p=none; rua=mailto:dmarc@example.comRecopilar informes agregados sobre quién envía correo como tu dominio
2. CorregirSin cambiosLograr que cada fuente legítima pase SPF o DKIM alineado
3. Cuarentenav=DMARC1; p=quarantine; rua=mailto:dmarc@example.comEl correo que falla va a spam
4. Rechazov=DMARC1; p=reject; rua=mailto:dmarc@example.comEl correo que falla se rechaza

Pasa a la siguiente etapa solo cuando los informes muestren que tu plataforma de tienda, tu herramienta de marketing, tu mesa de ayuda y el correo de tu equipo pasan. Los informes agregados se definen en el RFC 9990 (se abre en una pestaña nueva). Si la dirección rua está en otro dominio, como el de un servicio de informes, ese dominio tiene que publicar un registro que autorice los informes.

Algunas guías anteriores sugieren implementarlo con pct=25 o pct=50. El RFC 9989 eliminó pct (su entrada en el registro ahora figura como “histórica”) porque los valores distintos de 0 y 100 se aplicaban de forma inconsistente. En su lugar, t=y pide a los receptores aplicar la política inmediatamente inferior, por ejemplo cuarentena en lugar de rechazo. Usa t=y en vez de porcentajes parciales si quieres una etapa de prueba.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Una política aplicada también habilita BIMI, que muestra tu logotipo en las bandejas de entrada compatibles. Para ello, Gmail exige DMARC con p=quarantine o p=reject y un Verified Mark Certificate o un Common Mark Certificate (Google (se abre en una pestaña nueva)). Para el correo que llega a tu dominio, MTA-STS (RFC 8461 (se abre en una pestaña nueva)) te permite indicar a los servidores de envío que no entreguen correo a tus servidores si estos no ofrecen TLS con un certificado de confianza.

¿Cómo puedes revisar los registros de tu tienda?

Consulta los tres tipos de registro con dig o usa un verificador que los lea por ti.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

El selector DKIM te lo da tu proveedor, y puedes encontrarlo en el valor s= del encabezado DKIM-Signature de un mensaje que hayas enviado. El Informe de Entregabilidad de Correo lee tu DNS público, cuenta las consultas de SPF, prueba selectores DKIM comunes y revisa la política DMARC, rua, pct, BIMI y MTA-STS. Tener los registros correctos ayuda, pero ningún conjunto de registros garantiza que tus correos lleguen a la bandeja de entrada, porque los proveedores de correo también toman en cuenta las quejas por spam y el comportamiento de envío.

Preguntas frecuentes

¿Necesito DMARC si mi tienda envía menos de 5,000 correos al día?

Gmail solo exige DMARC a los remitentes masivos, pero Shopify señala que Gmail y Yahoo exigen un dominio autenticado y un registro DMARC para enviar desde una dirección con tu marca. Un registro p=none es de bajo riesgo y te da informes, así que la mayoría de las tiendas deberían publicar uno.

¿Mi dominio puede tener dos registros SPF?

No. El RFC 7208 indica que un dominio no debe tener varios registros SPF y que, cuando los tiene, la evaluación de SPF devuelve permerror. Combina todos los remitentes en un solo registro.

¿p=reject bloqueará los correos de pedidos de mi tienda Shopify?

No, siempre que los registros CNAME de Shopify estén configurados y tus informes DMARC muestren que el correo de Shopify pasa DKIM alineado. Revisa los informes antes de pasar de p=none y mantén la alineación relajada, como recomienda Shopify.

¿La etiqueta pct de DMARC sigue siendo válida?

El RFC 9989, publicado en mayo de 2026, eliminó pct e introdujo t=y para el modo de prueba. La guía de BIMI de Google todavía pide pct=100, que es el valor predeterminado cuando la etiqueta no aparece, así que omitir pct es la opción más sencilla para los registros nuevos.

¿Pasar SPF, DKIM y DMARC garantiza que mis correos lleguen a la bandeja de entrada?

No. La autenticación es un requisito, no una garantía. Gmail y Yahoo también toman en cuenta la tasa de quejas por spam, la gestión de las bajas y el formato de los mensajes.

Fuentes

Todas las guías