Comprobador de SPF, DKIM y DMARC
Comprueba la autenticación de correo de un dominio de una vez. Ve su registro SPF y cuántas consultas DNS usa, encuentra sus claves DKIM y lee su política DMARC, cada uno con un veredicto claro y qué corregir. Gratis y sin registro.
Comprobar un dominio
Escribe el dominio de la dirección From: de tu correo. Los registros se leen en vivo del DNS público.
Escribe un dominio y pulsa Comprobar.
Aún no se ha comprobado nada.
Las consultas van directamente de tu navegador a Google Public DNS por HTTPS. No se envía nada a nuestros servidores, ni se registra ni se guarda.
Tres registros DNS deciden si se confía en tu correo. SPF enumera los servidores que pueden enviar por tu dominio, DKIM publica la clave que verifica la firma de cada mensaje y DMARC indica a los receptores qué hacer cuando ambos fallan y adónde enviar informes. Un hueco en cualquiera de ellos es la razón habitual de que el correo acabe en spam o de que suplanten un dominio. Esta herramienta lee los tres y explica cada resultado.
Ventajas principales
Casos de uso habituales
Cómo usarlo
- 1.Escribe el dominio. Usa el dominio de tu dirección From:, como
ejemplo.com. También vale una dirección de correo o una URL: se extrae el dominio. - 2.Añade un selector DKIM si lo conoces. Déjalo vacío para probar los habituales. Tu selector real es el valor
s=de la cabecera DKIM-Signature de un mensaje que enviaste. - 3.Pulsa Comprobar dominio. SPF, DKIM y DMARC se consultan en paralelo. Cada uno recibe un veredicto y una lista de hallazgos claros y prácticos.
- 4.Corrige y vuelve a comprobar. Cambia el registro en tu proveedor DNS y comprueba de nuevo. Los cambios pueden tardar hasta el TTL del registro en verse.
Qué hace cada registro
Funcionan juntos. SPF y DKIM prueban que un mensaje es auténtico; DMARC los vincula al dominio visible del From: y fija la política.
ip4:, include: y similares, y termina en ~all o -all. Debe haber exactamente uno.include, a, mx, exists y redirect cuesta una consulta DNS, contando los include anidados. Más de 10 es un error permanente.p= vacío significa que la clave fue revocada._dmarc. más el dominio. Su etiqueta p= es la política: none, quarantine o reject.Características principales
- Comprueba SPF, DKIM y DMARC juntos y da un veredicto para cada uno
- Sigue los include y redirect de SPF para contar consultas frente al límite de 10
- Detecta +all, ?all, la falta de all, ptr y registros SPF duplicados
- Prueba 17 selectores DKIM habituales, o los que escribas, y estima el tamaño de la clave
- Lee la política DMARC, la de subdominios, pct y las direcciones de informes
- Acepta un dominio, una dirección de correo o una URL
- Las consultas usan Google Public DNS por HTTPS, directamente desde tu navegador
Aprobar aquí no garantiza la bandeja de entrada
Estos registros prueban quién envió un mensaje. Los receptores también valoran la reputación del remitente, el contenido, las quejas y el volumen, así que un dominio con SPF, DKIM y DMARC perfectos puede acabar en spam, y una corrección puede tardar unos días en notarse.
Despliega DMARC por etapas: empieza con p=none y una dirección rua, lee los informes hasta que todos los remitentes reales aprueben, pasa a quarantine y por último a reject. Nuestra guía para leer un informe DMARC muestra qué buscar, y la herramienta de consulta DNS muestra cualquier otro tipo de registro.
Preguntas frecuentes
¿Qué diferencia hay entre SPF, DKIM y DMARC?⌄
SPF enumera los servidores que pueden enviar correo de un dominio. DKIM añade a cada mensaje una firma criptográfica que se verifica con una clave publicada en DNS. DMARC exige que SPF o DKIM aprueben para el dominio del From: visible, indica qué hacer si no y pide que te envíen informes. Necesitas los tres.
¿Por qué dice que no encontró ninguna clave DKIM?⌄
Las claves DKIM están en selector._domainkey.tudominio, y el selector lo elige el servicio que firma tu correo, así que no se puede descubrir por DNS. La herramienta prueba selectores habituales. Si el tuyo es otro, busca s= en la cabecera DKIM-Signature de un mensaje enviado y escríbelo en la casilla del selector.
¿Qué significa «demasiadas consultas DNS» en SPF?⌄
SPF permite como máximo 10 consultas DNS durante su evaluación, contando cada include, a, mx, exists y redirect, también los de los registros incluidos. Por encima de 10 el resultado es un error permanente y SPF falla para todos los mensajes. Quita servicios que ya no uses o sustituye los include por sus rangos ip4 e ip6.
¿Uso ~all o -all?⌄
Ambos sirven cuando DMARC está activo, porque DMARC decide el resultado. ~all (softfail) es la opción más segura mientras descubres todos los servicios que envían por ti. -all (fail) es más estricto. Nunca uses +all, que autoriza a todo internet.
¿Basta con p=none en DMARC?⌄
Es el punto de partida, no el destino. p=none solo supervisa: el correo que falla se sigue entregando, así que no frena la suplantación. Cuando los informes muestren que todos los remitentes legítimos aprueban, pasa a p=quarantine y luego a p=reject. Google y Yahoo exigen al menos un registro DMARC a los remitentes masivos.