SPF, DKIM y DMARC para tiendas online: cómo cumplir las reglas de Gmail y Yahoo para remitentes

Qué hacen SPF, DKIM y DMARC, qué exigen Gmail, Yahoo y Outlook.com a los remitentes, cómo configurarlos en Shopify y WooCommerce y cómo llegar a p=reject.

Equipo editorial de FixReports12 min de lectura

Para cumplir las reglas de Gmail y Yahoo para remitentes, toda tienda online necesita SPF o DKIM en su dominio de envío, y los remitentes masivos necesitan ambos, además de un registro DMARC de al menos p=none con el dominio visible del remitente (From) alineado con SPF o DKIM. Los remitentes masivos también deben ofrecer la baja con un clic en los emails de marketing y mantener su tasa de quejas por spam por debajo del 0.3%. En Shopify, eso significa autenticar tu dominio de remitente en el panel de control y añadir un registro DMARC; en WooCommerce, enviar a través de un proveedor de email autenticado. Cuando los informes DMARC muestren que todo tu correo legítimo supera las comprobaciones, puedes endurecer la política progresivamente hacia p=reject.

Puntos clave

¿Qué hacen realmente SPF, DKIM y DMARC?

SPF indica quién puede enviar en nombre de tu dominio, DKIM firma cada mensaje y DMARC vincula ambos a la dirección del remitente (From) que ven tus clientes.

RegistroQué demuestraDónde se publicaEstándar
SPFEl servidor de envío está autorizado para el dominio usado en el sobre (MAIL FROM)Registro TXT en el dominioRFC 7208 (se abre en una pestaña nueva)
DKIMEl mensaje lo firmó el dominio y no se modificó durante el envíoRegistro TXT en selector._domainkey.example.comRFC 6376 (se abre en una pestaña nueva)
DMARCSPF o DKIM se superaron para un dominio alineado con el dominio visible del remitente (From); indica a los receptores qué hacer si falla y adónde enviar los informesRegistro TXT en _dmarc.example.comRFC 9989 (se abre en una pestaña nueva)

La alineación es fácil de pasar por alto. Tu plataforma de email puede superar SPF con su propio dominio de rebote mientras tu dirección del remitente muestra el dominio de tu tienda. Ese mensaje supera SPF pero falla en DMARC, a menos que DKIM se firme con tu dominio.

¿Qué exigen Gmail y Yahoo a los remitentes?

Ambos exigen autenticación a todos los remitentes y añaden reglas más estrictas para los remitentes masivos.

Para todos los remitentes, Gmail exige SPF o DKIM, DNS directo e inverso válidos, TLS, formato conforme a la RFC 5322 y una tasa de spam inferior al 0.3% en Postmaster Tools (Google (se abre en una pestaña nueva)). Yahoo exige al menos SPF o DKIM y una tasa de spam inferior al 0.3% (Yahoo Sender Hub (se abre en una pestaña nueva)). Para los remitentes masivos:

RequisitoGmailYahoo
SPF y DKIMAmbosAmbos
DMARCObligatorio; la política puede ser nonePolítica válida de al menos p=none, y DMARC debe superarse
AlineaciónDominio del remitente (From) alineado con el dominio de SPF o DKIMIgual; se acepta la alineación relajada
Baja con un clicMensajes de marketing y de suscripciones, según la RFC 8058, más un enlace visibleEncabezado List-Unsubscribe compatible con la baja con un clic en mensajes de marketing y de suscripciones
Respetar las bajasEn un plazo de 48 horas (recomendado)En un plazo de 2 días
Tasa de spamInferior al 0.3%; Google recomienda menos del 0.10%Inferior al 0.3%

Algunos detalles son importantes para las tiendas:

  • Gmail cuenta por dominio. Los mensajes del mismo dominio principal cuentan para el límite de 5000, así que se suman los emails de pedidos, el marketing y las respuestas de atención al cliente.
  • Solo cuentan las cuentas personales de Gmail. Las directrices no se aplican a los mensajes enviados a cuentas de Google Workspace.
  • El correo transaccional está exento de la baja con un clic. Las confirmaciones de pedido siguen necesitando autenticación.

La baja con un clic usa dos encabezados definidos en la RFC 8058 (se abre en una pestaña nueva), que además exige una firma DKIM válida que los cubra:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Para confirmar que tu plataforma de marketing los añade, abre el código fuente original de una de tus propias campañas.

¿Qué cambió después de febrero de 2024?

La aplicación de las reglas se ha endurecido por etapas, y otros proveedores de buzones de correo han adoptado reglas similares.

FechaCambioFuente
Febrero de 2024Entran en vigor los requisitos de Gmail y Yahoo (Yahoo empezó a aplicarlos de forma gradual)Google (se abre en una pestaña nueva), Yahoo (se abre en una pestaña nueva)
Junio de 2024Gmail: los remitentes masivos con una tasa de spam superior al 0.3% dejan de poder optar a las medidas de mitigaciónPreguntas frecuentes de Gmail (se abre en una pestaña nueva)
1 de junio de 2024Fecha límite de Gmail para la baja con un clic en los remitentes que ya tenían un enlace para darse de bajaPreguntas frecuentes de Gmail (se abre en una pestaña nueva)
5 de mayo de 2025Requisitos de Outlook.com para los dominios que envían más de 5000 emails al día; la actualización de Microsoft del 29 de abril indica que los mensajes que no los cumplen se rechazan con 550 5.7.515Microsoft (se abre en una pestaña nueva)
Noviembre de 2025Gmail intensifica la aplicación de las reglas, con rechazos temporales y permanentesPreguntas frecuentes de Gmail (se abre en una pestaña nueva)
Mayo de 2026La RFC 9989 deja obsoleta la RFC 7489 como especificación de DMARCIETF (se abre en una pestaña nueva)

Las reglas de Outlook.com se aplican a sus direcciones de consumo (outlook.com, hotmail.com y live.com) y exigen que SPF y DKIM se superen y un DMARC de al menos p=none alineado con SPF o DKIM.

¿Cómo se configuran SPF, DKIM y DMARC en Shopify?

Autentica tu dominio de remitente en el panel de control de Shopify y luego añade un registro DMARC en tu proveedor de DNS.

La guía de configuración del email (se abre en una pestaña nueva) de Shopify indica que, desde el 1 de febrero de 2024, Gmail y Yahoo exigen un dominio autenticado y un registro DMARC para enviar desde una dirección con tu marca. Si los registros de autenticación no están configurados, Shopify reescribe tu dirección de remitente con el formato store+123@shopifyemail.com. Los pasos:

  1. En el panel de control de Shopify, ve a Configuración > Notificaciones.
  2. En la sección Correo electrónico del remitente, haz clic en authenticate your domain (autenticar tu dominio).
  3. Añade en tu proveedor de DNS todos los registros CNAME que se muestran. El número puede variar. Shopify indica que estos registros se encargan de SPF y DKIM para tu dirección de remitente y que no necesitas añadir direcciones IP.
  4. Espera hasta 48 horas a que se apliquen los cambios de DNS.
  5. Añade un registro TXT con el nombre _dmarc y el valor v=DMARC1; p=none;, que Shopify usa como valor predeterminado.

Si compraste tu dominio en Shopify o lo transferiste allí, Shopify gestiona estos registros por ti. Shopify también advierte de que un dominio solo puede tener un registro DMARC y de que los ajustes de alineación estricta (adkim=s o aspf=s) deben eliminarse o cambiarse a r.

La autenticación de Shopify cubre el correo que envía Shopify. Si usas otra plataforma para las campañas, un sistema de atención al cliente (help desk) o Google Workspace para el correo del personal, cada uno necesita su propia configuración de DKIM y, si usa tu dominio para los rebotes, su propia entrada en SPF.

¿Cómo se configura la autenticación del email en WooCommerce?

Envía los emails de WooCommerce a través de un proveedor especializado que firme con tu dominio, como recomienda la propia documentación de WooCommerce.

WooCommerce envía el correo con la función wp_mail() de WordPress, y sus preguntas frecuentes sobre email (se abre en una pestaña nueva) recomiendan un proveedor SMTP especializado por ser más fiable que la función de correo de tu propio servidor. Una configuración típica:

  1. Elige un proveedor de email transaccional y verifica tu dominio con él. El proveedor te da los registros DKIM y el include de SPF que debes publicar.
  2. Conecta WordPress a ese proveedor con un plugin de SMTP o de API.
  3. En WooCommerce > Settings > Emails, configura como From address (dirección del remitente) una dirección de tu propio dominio. WooCommerce advierte de que es probable que una dirección pública, como una de Gmail o Yahoo, acabe en spam o sea bloqueada.
  4. Publica un registro DMARC en _dmarc.yourdomain.
  5. Revisa WooCommerce > Status > Logs y filtra por el origen transactional-emails para ver qué mensajes se enviaron o fallaron.

Si tu proveedor de hosting también envía correo para el dominio, autentícalo o desactívalo. Cualquier sistema que envíe como tu dominio sin SPF o DKIM alineados fallará en DMARC.

¿Qué es el límite de 10 consultas de SPF y cómo no superarlo?

Una comprobación SPF puede usar como máximo 10 términos que requieren consultas DNS; uno más y el resultado es permerror, así que SPF no se supera.

La RFC 7208, sección 4.6.4 (se abre en una pestaña nueva) enumera los términos que cuentan: los mecanismos include, a, mx, ptr y exists y el modificador redirect. Los mecanismos ip4, ip6 y all no cuentan. Los include anidados dentro de tus include también cuentan, porque el límite se aplica a toda la evaluación. La RFC también recomienda limitar a dos las «consultas vacías» (void lookups, es decir, consultas que no devuelven respuesta) e indica que no se debe publicar el mecanismo ptr.

Formas de no pasar de 10:

  • Elimina los include de servicios que ya no usas.
  • Usa ip4 o ip6 para los servidores propios con direcciones fijas.
  • Pasa el correo de marketing a un subdominio como news.example.com, que tiene su propio registro SPF y su propio recuento.
  • No publiques nunca dos registros SPF. La RFC 7208 prohíbe tener varios registros y la evaluación devuelve permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com y spf.example-marketing.com representan los valores que te indiquen tus proveedores.

¿Cómo pasar DMARC de p=none a p=reject?

Empieza con p=none y con informes, corrige todas las fuentes legítimas que revelen los informes y luego endurece la política.

EtapaRegistroObjetivo
1. Supervisarv=DMARC1; p=none; rua=mailto:dmarc@example.comRecopilar informes agregados sobre quién envía como tu dominio
2. CorregirSin cambiosHacer que cada fuente legítima supere SPF o DKIM alineados
3. Cuarentenav=DMARC1; p=quarantine; rua=mailto:dmarc@example.comEl correo que falla va a spam
4. Rechazov=DMARC1; p=reject; rua=mailto:dmarc@example.comEl correo que falla se rechaza

Pasa a la siguiente etapa solo cuando los informes muestren que tu plataforma de tienda, tu herramienta de marketing, tu sistema de atención al cliente y el correo del personal superan las comprobaciones. Los informes agregados se definen en la RFC 9990 (se abre en una pestaña nueva). Si la dirección rua está en otro dominio, como el de un servicio de informes, ese dominio tiene que publicar un registro que autorice los informes.

Las guías antiguas sugieren implantarlo con pct=25 o pct=50. La RFC 9989 eliminó pct (su entrada en el registro de etiquetas figura ahora como «historic») porque los valores distintos de 0 y 100 se aplicaban de forma incoherente. En su lugar, t=y pide a los receptores que apliquen la política inmediatamente inferior, por ejemplo cuarentena en lugar de rechazo. Usa t=y en vez de porcentajes parciales si quieres una etapa de prueba.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Una política aplicada también te abre la puerta a BIMI, que muestra tu logotipo en los buzones compatibles. Para ello, Gmail exige DMARC con p=quarantine o p=reject y un Verified Mark Certificate o un Common Mark Certificate (Google (se abre en una pestaña nueva)). Para el correo que llega a tu dominio, MTA-STS (RFC 8461 (se abre en una pestaña nueva)) te permite indicar a los servidores remitentes que rechacen la entrega a tus servidores de correo si estos no ofrecen TLS con un certificado de confianza.

¿Cómo comprobar los registros de tu tienda?

Consulta los tres tipos de registro con dig o usa un comprobador que los lea por ti.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

El selector DKIM te lo da tu proveedor, y puedes encontrarlo en el valor s= del encabezado DKIM-Signature de un mensaje que hayas enviado. El Informe de Entregabilidad de Email lee tu DNS público, cuenta las consultas de SPF, prueba selectores DKIM comunes y revisa la política DMARC, rua, pct, BIMI y MTA-STS. Unos registros correctos ayudan, pero ningún conjunto de registros garantiza llegar a la bandeja de entrada, porque los proveedores de buzones también tienen en cuenta las quejas por spam y el comportamiento de envío.

Preguntas frecuentes

¿Necesito DMARC si mi tienda envía menos de 5000 emails al día?

Gmail solo exige DMARC a los remitentes masivos, pero Shopify señala que Gmail y Yahoo exigen un dominio autenticado y un registro DMARC para enviar desde una dirección con tu marca. Un registro p=none tiene poco riesgo y te proporciona informes, así que la mayoría de las tiendas deberían publicar uno.

¿Puede mi dominio tener dos registros SPF?

No. La RFC 7208 establece que un dominio no debe tener varios registros SPF y que, si los tiene, la evaluación SPF devuelve permerror. Combina todos los remitentes en un único registro.

¿Bloqueará p=reject los emails de pedidos de mi tienda Shopify?

No, si los registros CNAME de Shopify están configurados y tus informes DMARC muestran que el correo de Shopify supera DKIM alineado. Revisa los informes antes de pasar de p=none y mantén la alineación relajada, como recomienda Shopify.

¿Sigue siendo válida la etiqueta pct de DMARC?

La RFC 9989, publicada en mayo de 2026, eliminó pct e introdujo t=y para el modo de prueba. La guía de BIMI de Google sigue pidiendo pct=100, que es el valor predeterminado cuando la etiqueta no aparece, así que omitir pct es la opción más sencilla para los registros nuevos.

¿Superar SPF, DKIM y DMARC garantiza que mis emails lleguen a la bandeja de entrada?

No. La autenticación es un requisito, no una garantía. Gmail y Yahoo también tienen en cuenta las tasas de quejas por spam, la gestión de las bajas y el formato de los mensajes.

Fuentes

Todas las guías