Configura SPF, DKIM y DMARC para Google Workspace

Qué significa

Cuando usas Google Workspace, Gmail envía tus emails, pero tu dominio tiene que demostrar que confía en Google. Tres registros DNS se encargan de ello:

• SPF indica que los servidores de Google pueden enviar en nombre de tu dominio.
• DKIM añade una firma digital a cada email, creada con una clave que solo Google tiene para tu dominio.
• DMARC indica a los receptores qué hacer cuando un email falla las dos comprobaciones, y te envía informes.

DKIM no está activado por defecto en muchos dominios de Workspace: hasta que lo actives, Google firma con un dominio genérico de Google, que no cuenta para tu DMARC.

Por qué importa

Gmail, Yahoo y Outlook esperan que los remitentes tengan SPF y DKIM, y que los envíos masivos tengan además DMARC. Si falta alguna pieza, más emails acaban en spam, y quienes falsifican tu dirección lo tienen más fácil.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio (/), copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. Las líneas SPF, DKIM y DMARC deberían pasar todas, y DKIM debería mostrar tu propio dominio (d=yourdomain.com).
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros SPF y DMARC sin enviar nada.

Cómo solucionarlo

1. SPF

1. Entra en tu proveedor de DNS (donde compraste el dominio).
2. Busca un registro TXT existente que empiece por v=spf1. Debes tener solo uno.
3. Si no existe ninguno, añade un registro TXT en @:

v=spf1 include:_spf.google.com ~all

Si ya tienes uno para otras herramientas, añade include:_spf.google.com dentro de él en lugar de crear una segunda línea.

2. DKIM

1. Abre la Consola de administración de Google y ve a Apps, Google Workspace, Gmail, Authenticate email.
2. Selecciona tu dominio y haz clic en Generate new record. Elige una clave de 2048 bits si tu proveedor de DNS acepta valores largos.
3. Copia el registro: el nombre es google._domainkey y el valor empieza por v=DKIM1; k=rsa; p=.
4. Añádelo como registro TXT en tu proveedor de DNS.
5. Espera a que sea visible (de unos minutos a 48 horas), vuelve y haz clic en Start authentication.

3. DMARC

Añade un registro TXT llamado _dmarc. Empieza en modo de monitorización:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

La dirección rua recibe informes diarios de Gmail, Yahoo, Microsoft y otros. Cuando todas las fuentes legítimas pasen, cambia a p=quarantine y después a p=reject.

4. Otras herramientas que envían por ti

Google Workspace solo cubre los emails enviados desde Gmail. Tu herramienta de newsletters, tu tienda, tu CRM o el formulario de tu web necesitan cada uno su propio include SPF y sus registros DKIM, o DMARC fallará para ellos.

Comprueba que está solucionado

• Vuelve a pasar el Escáner de dominio: un registro SPF, un registro DMARC.
• Envía un nuevo email de prueba desde tu cuenta de Gmail: SPF, DKIM y DMARC deberían pasar todos, con DKIM firmado por tu dominio.
• Con la monitorización DMARC de Delivmail en el panel de pago, puedes leer los informes diarios y detectar cualquier fuente que todavía falle antes de endurecer tu política.

Ayuda oficial: SPF, DKIM y DMARC para Google Workspace.