SPF, DKIM y DMARC: qué son, cómo configurarlos y qué hacer si los correos de tu empresa no llegan (el caso de Outlook.com)

Publicado el 11 noviembre 2026 · Equipo mitza.es

«Mi correo no le llega al cliente» es uno de los problemas informáticos más frecuentes en una pyme, y casi siempre tiene la misma raíz: el servidor que recibe el mensaje no puede comprobar que de verdad viene de tu dominio. Esa comprobación depende de tres registros DNS: SPF, DKIM y DMARC. A principios de noviembre de 2026 el asunto saltó a la prensa tecnológica por lo ocurrido con Outlook.com. Resumimos qué pasó, qué es cada registro y cómo configurarlos con cabeza.

Qué pasó con Outlook.com en noviembre de 2026

A partir del 5 o 6 de noviembre, administradores de dominios pequeños empezaron a notar rebotes en los correos enviados a direcciones de Outlook.com, Hotmail.com y Live.com, con mensajes como 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records. La publicación alemana heise lo vinculó a dominios sin registro DMARC, con rechazos incluso cuando SPF y DKIM eran correctos y con casos intermitentes. En el hilo de la comunidad de Microsoft también escribieron administradores de Microsoft 365 y de dominios que ya tenían DMARC.

La versión de Microsoft, según un moderador de su foro (incidente EX1545193), es distinta: el problema se debió a «una actualización reciente de las reglas de aplicación antispam» que identificó por error como violaciones de SPF algunos correos legítimos. Microsoft revirtió el cambio y el 10 de noviembre el servicio figuraba como restaurado. Además, Microsoft no ha anunciado ningún requisito general de DMARC para remitentes pequeños: lo que sigue vigente desde mayo de 2025 es la obligación de SPF, DKIM y DMARC (al menos p=none) para dominios que envían más de 5.000 mensajes al día. En su propia guía, Microsoft dice que los remitentes pequeños «se benefician» de estas buenas prácticas, sin imponerlas.

¿Qué queda de todo esto? Que publicar un DMARC mínimo es un seguro barato y que, si tus correos rebotan, conviene revisar los tres registros antes de nada. Eso sí, el episodio no demuestra que DMARC fuera la causa en todos los casos: la propia explicación de Microsoft habla de un error de sus reglas antispam.

Qué son SPF, DKIM y DMARC en lenguaje llano

• SPF (Sender Policy Framework): una lista, publicada en el DNS de tu dominio, de los servidores que pueden enviar correo en tu nombre. Es como una relación de carteros autorizados.
• DKIM (DomainKeys Identified Mail): una firma digital que se añade a cada mensaje. El receptor la verifica con una clave pública que tú publicas en el DNS, y así sabe que el mensaje viene de quien dice y no se ha alterado por el camino.
• DMARC: la política que une a los dos. Indica al receptor qué hacer si SPF o DKIM no coinciden con la dirección «De:» visible (nada, cuarentena o rechazo) y a dónde enviarte informes. Aquí entra la idea de alineación: el dominio que se autentica debe coincidir con el que ve el destinatario.

Los tres se publican como registros de tipo TXT (o CNAME, en el caso de DKIM según el proveedor) en la zona DNS de tu dominio. Si ya los has visto de pasada en nuestra guía de Google Workspace o Microsoft 365 para el correo corporativo, aquí los vemos con más detalle.

Cómo se ven los registros

Ejemplos con un dominio ficticio (sustituye tudominio.com por el tuyo):

SPF

Un único registro TXT en la raíz del dominio. Para Microsoft 365 suele ser así, y para Google Workspace cambia el servicio incluido:

tudominio.com.   TXT   "v=spf1 include:spf.protection.outlook.com -all"
tudominio.com.   TXT   "v=spf1 include:_spf.google.com ~all"   (Google Workspace: uno u otro, no los dos)

Solo puede haber un registro SPF por dominio, y SPF admite como máximo 10 consultas DNS: si añades muchos servicios, hay que fusionarlos en el mismo registro. ~all indica «fallo suave» y -all «fallo duro»; empieza por el primero si no estás seguro.

DKIM

No se escribe a mano: se genera en la consola de tu servicio de correo (Google Workspace, Microsoft 365, tu herramienta de newsletters, tu tienda online…) y te dan uno o dos registros para publicar en el DNS. Hay que activarlo en cada servicio que envíe correo con tu dominio.

DMARC

Un registro TXT en el subdominio _dmarc. El mínimo para empezar, con informes a un buzón tuyo:

_dmarc.tudominio.com.   TXT   "v=DMARC1; p=none; rua=mailto:[email protected]"

p=none no cambia lo que ocurre con el correo: solo pide informes. rua es la dirección que recibirá los informes agregados. Un registro DMARC no garantiza que todo pase: además SPF o DKIM deben estar alineados con el dominio visible.

Cómo configurarlo paso a paso

1. Haz una lista de todo lo que envía correo con tu dominio: tu servicio de correo, la web (los formularios de contacto), la tienda online, la herramienta de facturación, el CRM, las newsletters.
2. Publica un único SPF que incluya todos esos servicios.
3. Activa DKIM en cada servicio y publica sus registros.
4. Publica DMARC con p=none y rua. Así empiezas a recibir informes sin arriesgar correo legítimo.
5. Revisa los informes durante dos a cuatro semanas (pueden ser largos de leer; hay servicios gratuitos que los resumen) para detectar servicios que envían en tu nombre y que habías olvidado.
6. Sube la política poco a poco: de p=none a p=quarantine y, cuando todo esté limpio, a p=reject. Microsoft y los especialistas coinciden en avanzar de forma gradual.

Cómo comprobar que funciona

• Consulta los registros: en Windows, nslookup -type=txt _dmarc.tudominio.com; en Linux o macOS, dig TXT _dmarc.tudominio.com. Cambia el nombre para comprobar SPF y DKIM.
• Envíate un correo de prueba a una cuenta de Gmail y abre el mensaje con la opción «Mostrar original»: debe aparecer SPF, DKIM y DMARC en «PASS».
• Mira el encabezado Authentication-Results de los correos que recibes de otros: es donde cada servidor anota si la comprobación ha pasado.
• Prueba con distintos destinos: Gmail, Outlook.com y la cuenta de algún cliente.

Si tus correos rebotan o van a spam

1. Lee el código del rebote. El texto del error (por ejemplo, 550 5.7.1 o 5.7.515) indica qué comprobación falló y quién la rechazó.
2. Revisa los tres registros con las comprobaciones de arriba y corrige lo que falle: un SPF duplicado y un servicio olvidado son causas frecuentes.
3. No reenvíes en bucle el mismo correo: empeora la reputación de tu dominio.
4. Guarda evidencias (el rebote completo, el identificador del mensaje y un ejemplo en formato .eml) para poder contactar con el servicio de soporte del receptor, que es lo que recomendó el moderador de Microsoft en el caso de noviembre.
5. Si es intermitente y tus registros están bien, puede ser un problema del proveedor receptor, como el que Microsoft revirtió el 10 de noviembre: espera, repite la prueba y consulta el estado del servicio.

Errores habituales

• Publicar dos registros SPF en el mismo dominio: el resultado es un error permanente y SPF deja de validar.
• Olvidar servicios que envían correo en tu nombre: facturación, CRM, boletines, la propia web.
• Pasar a -all o a p=reject sin haber revisado antes los informes.
• Enviar los formularios de contacto de la web con la función de correo del servidor, sin autenticación: conviene usar un envío autenticado (SMTP) o un servicio autorizado en SPF y DKIM.
• No proteger los subdominios o los dominios que no usas para correo.

Más allá de la entrega: evitar que suplanten tu dominio

Con DMARC en quarantine o reject, los correos falsos que usan tu dominio tienen más dificultades para llegar a la bandeja de entrada de quien los recibe, lo que complica fraudes como los que explicamos en las estafas que suplantan a tu tienda online o en el fraude del cambio de IBAN. No elimina el riesgo, porque los atacantes también pueden usar dominios parecidos al tuyo, pero cierra una puerta muy habitual.

Qué exigen Google, Yahoo y Microsoft

• Google y Yahoo: desde 2024, SPF, DKIM y DMARC para quien envía más de 5.000 mensajes al día a sus usuarios.
• Microsoft (Outlook.com): desde mayo de 2025, SPF, DKIM y DMARC con al menos p=nonepara dominios que envían más de 5.000 mensajes al día. Según su nota, el correo no conforme se enviaría primero a la carpeta de correo no deseado y se rechazaría más adelante, con fecha por anunciar. Para el resto de remitentes no es obligatorio, pero sí recomendable.
• Si tu empresa envía boletines o campañas a muchos destinatarios, aunque tú no llegues a esa cifra, el servicio de envío que uses sí puede estar sujeto a estos requisitos.

Preguntas rápidas

¿Es obligatorio DMARC para una pyme?

No hay una obligación general para volúmenes pequeños, pero es una práctica recomendable y cada vez más habitual. Con p=none empiezas sin riesgo.

¿Puede DMARC hacer que pierda correos?

Con p=none, no. El riesgo aparece al pasar a quarantine o reject si hay servicios legítimos sin autorizar. Por eso se revisan primero los informes.

¿Cuánto tarda en notarse un cambio de DNS?

Depende del tiempo de caché (TTL) del registro. Puede ser desde minutos hasta unas horas; en ocasiones, algo más.

¿Tengo que hacerlo yo o lo hace mi proveedor de correo?

El registro se publica en el DNS de tu dominio, así que depende de quién lo gestione (tu proveedor de dominio, de hosting o de informática). Si no sabes quién es, tienes una guía en dominio y hosting: qué son y cómo elegir.

Cómo te ayudamos en Mitza

Revisamos los registros de tu dominio, configuramos SPF, DKIM y DMARC de forma gradual y comprobamos que todo lo que envía correo en tu nombre está autorizado. Mira nuestro mantenimiento informático para pymes o cuéntanos tu caso desde la página de contacto.

Lectura relacionada: cómo leer un aviso de seguridad y SMS falsos de la DGT, Correos y Hacienda.