¿Pueden enviar correos falsos con tu dominio?
Escribe tu dominio o tu correo y revisamos los registros que impiden que alguien se haga pasar por tu empresa: SPF, DKIM y DMARC.
Consultamos el DNS público con Cloudflare (DNS sobre HTTPS) desde tu navegador. No guardamos el dominio que revisas.Dominio a revisar
Tengo un selector DKIM propio
Cómo te protegen SPF, DKIM y DMARC
El correo se inventó sin comprobar quién envía. Por eso cualquiera puede mandar un mensaje que diga venir de gerencia@tuempresa.cl. Estos tres registros DNS cierran esa puerta:
- SPF es la lista de servidores que pueden enviar correos con tu dominio. Va en un registro TXT en la raíz del dominio.
- DKIM firma cada correo con una llave. El que recibe comprueba la firma con la llave pública publicada en tu DNS.
- DMARC le dice al receptor qué hacer si un correo no pasa SPF ni DKIM: dejarlo pasar (
none), mandarlo a spam (quarantine) o rechazarlo (reject).
Tu dominio está realmente protegido cuando tiene SPF válido y DMARC en quarantine o reject. DKIM suma confianza y evita que tus correos legítimos terminen en spam.
La nota va de 0 a 10: SPF vale hasta 3 puntos, DMARC hasta 4, DKIM 2, y MTA-STS y BIMI medio punto cada uno.
Preguntas frecuentes
¿Dónde pego los registros recomendados?
En el panel donde administras el DNS de tu dominio: NIC Chile si delegaste ahí, Cloudflare, tu hosting (cPanel, zona DNS) o el proveedor donde compraste el dominio. Se crean como registros de tipo TXT con el nombre que indicamos en cada uno.
¿Puedo pasar DMARC directo a reject?
Se puede, pero si algún sistema legítimo (facturación electrónica, CRM, la web que envía formularios) no está en tu SPF ni firma con DKIM, sus correos se van a perder. Lo seguro es partir en none con informes, revisar dos o tres semanas y luego subir a quarantine y reject.
¿Por qué no encuentran mi DKIM si sé que lo tengo?
DKIM se publica con un nombre (selector) que elige tu proveedor, y no hay forma de listar todos. Probamos los habituales de Microsoft 365, Google, Zoho y cPanel. Puedes ver el tuyo en las cabeceras de un correo enviado, en la línea DKIM-Signature, después de s=.
¿Qué son las 10 búsquedas DNS del SPF?
Cada include, a, mx o redirect obliga al receptor a hacer otra consulta. La norma permite como máximo 10 en total, contando las que hay dentro de cada include. Si te pasas, el SPF falla completo aunque esté bien escrito.
¿Cuánto tarda en verse un cambio?
Depende del TTL del registro, normalmente entre 5 minutos y unas horas. Esta herramienta consulta a Cloudflare, que puede guardar la respuesta anterior durante ese tiempo.