¿Por qué mis correos caen en spam? Comprueba SPF, DKIM y DMARC.
Escribe el dominio desde el que envías correo (la parte después de @ en la dirección From) y la herramienta lee los tres registros DNS que cada buzón moderno comprueba: SPF (qué servidores pueden enviar por ti), DKIM (la firma criptográfica de cada mensaje) y DMARC (qué hacer cuando SPF y DKIM no coinciden).
Obtienes tres tarjetas tipo semáforo: verde significa que pasa, amarillo que funciona pero es frágil, rojo que los receptores con mucha probabilidad enviarán tu correo a spam o lo rechazarán. Cada tarjeta se abre para mostrar el registro en bruto, los valores parseados y una lista de avisos en lenguaje claro.
Consultamos los registros desde nuestro servidor a través del DNS público de Cloudflare (1.1.1.1). No se escribe nada en ningún sitio, la consulta termina en menos de dos segundos.
Cómo usarla
- Escribe el dominio desde el que envías. El dominio del From, no el correo completo. Para "marketing@tienda.com" el dominio es tienda.com. Eliminamos la parte de usuario si pegas la dirección entera.
- Pulsa "Comprobar". La herramienta obtiene SPF, DKIM (para los 8 selectores más comunes) y DMARC en paralelo.
- Si una tarjeta está verde, esa pieza está sana. Amarillo = funciona pero tiene un punto débil que merece arreglar (clave en modo prueba, `~all` en vez de `-all`, sin reportes DMARC). Rojo = los receptores pueden descartar tu correo.
- ¿No ves tu clave DKIM? Activa "Selectores DKIM personalizados" y escribe el selector que usa tu proveedor de correo (p. ej. `dkim`, `mxvault`, `mandrill`). El selector es el prefijo antes de `._domainkey.` en el registro DNS.
- Lee los avisos en cada tarjeta. Están ordenados por impacto: arregla el aviso superior primero, luego vuelve a comprobar.
Cuándo es útil
Cinco momentos reales en los que comprobar SPF/DKIM/DMARC te salva:
- Newsletter que cae en spam. Configuraste Mailchimp / Brevo / Klaviyo, enviaste la primera campaña, la mitad de los destinatarios no la recibió. Primer diagnóstico = comprobar SPF + DKIM, la plataforma de envío suele requerir que ambos estén alineados.
- Migración a un nuevo proveedor de correo. Cambiar de Google Workspace a Microsoft 365, o añadir un emisor transaccional (Postmark, SendGrid). El SPF/DKIM viejo conviven con el nuevo hasta que termine la propagación, fácil de pasar por alto.
- Queja de un cliente "mis correos se rechazan". El cliente dice "tu correo nunca llega". Puede ser: SPF sobre el límite de 10 lookups, clave DKIM revocada, DMARC `p=reject` sin `rua` desde el que depurar.
- Auditoría de protección anti-phishing. Tu empresa envía facturas a clientes. Sin DMARC `p=reject` cualquiera puede suplantar tu dominio. La herramienta te dice exactamente qué pieza falta.
- Prelanzamiento en un dominio nuevo. Antes de enviar el primer correo transaccional desde un dominio recién creado, verifica que las tres piezas están configuradas. La reputación se construye despacio, se arruina en una campaña.
Para una auditoría DNS más profunda más allá del correo, usa la herramienta consulta DNS. Para validar que la contraseña de tu cuenta SMTP no se ha filtrado, mira comprobación de contraseñas filtradas.