Saltar al contenido principal
ES Deutsch Français Italiano Português

Directrices de Google para remitentes de correo electrónico

Nota

Correos electrónicos enviados desde Duda ya siguen las mejores prácticas de autenticación de correo electrónico. En los pasos de este artículo se explica cómo implementar las prácticas recomendadas de autenticación de correo electrónico en tus cuentas personales de Gmail. Ten en cuenta que Duda no ofrece ni admite el alojamiento de correo electrónico.

A partir del 1 de febrero de 2024, Google exigirá estándares de autenticación de correo electrónico específicos para enviar mensajes a cuentas personales de Gmail. Estas normas son esenciales para evitar que los correos electrónicos se marquen como spam o se bloqueen.

  • Todos los remitentes: implemente SPF (marco de políticas de remitentes) o DKIM (correo identificado con claves de dominio)

  • Remitentes masivos (cualquier remitente de correo electrónico que envíe cerca de 5000 o más mensajes al día): implementen SPF, DKIM y DMARC (autenticación, generación de informes y conformidad de mensajes basados en el dominio)

Las directrices se aplican a todos los remitentes de correo electrónico, independientemente del proveedor de servicios de correo electrónico que utilices, siempre que envíes correos electrónicos a cuentas personales de Gmail (cuentas que terminan en @gmail .com o @googlemail .com).

Nota

Para obtener ayuda con la información de inicio de sesión, la configuración o los registros TXT de tu dominio, ponte en contacto con tu proveedor de dominio.

Por qué es importante la autenticación del correo electrónico

requisitos de autenticación del correo electrónico de Google mejoran la seguridad y evitan actividades malintencionadas como la suplantación de identidad y la suplantación de identidad. Al implementar estas prácticas recomendadas de autenticación del correo electrónico, mejorarás la capacidad de entrega y la fiabilidad de tus correos electrónicos a las cuentas de Gmail y, al mismo tiempo, protegerás tanto a la organización como a los destinatarios de la suplantación de identidad y

Para un rendimiento óptimo de entrega de correo electrónico:

  1. Configurar SPF: Garantice la entrega del correo y evite la suplantación de identidad especificando servidores autorizados para su dominio.

  2. Configurar DKIM: Aumente la seguridad de los correos electrónicos salientes añadiendo firmas digitales cifradas.

  3. Configurar DMARC: Por último, mejore la seguridad del spam falsificado con DMARC. DMARC indica a los servidores receptores qué hacer con los correos electrónicos que no cumplen con el SPF o el DKIM y proporciona informes sobre

Asegúrese de que SPF, DKIM y DMARC estén configurados para cada uno de sus dominios de envío a través de su proveedor de dominios. Si utilizas un proveedor de servicios de correo electrónico, asegúrate de que autentiquen el correo electrónico de tu dominio con SPF y DKIM

Estándares de autenticación de correo electrónico

A continuación se muestran los métodos de autenticación clave que debes configurar para cumplir con los requisitos de Google y mejorar la seguridad de tu correo electrónico:

  • SPF (Marco de políticas de remitentes): SPF evita la suplantación de correo electrónico especificando qué servidores de correo están autorizados a enviar correos electrónicos en nombre de su dominio. Su función es publicar un registro DNS en el que figuran estos servidores autorizados. Cuando se recibe un correo electrónico, el servidor de correo del destinatario comprueba el registro SPF para verificar quién es el remitente. Para obtener instrucciones de configuración, consulte Configura los registros TXT SPF para tu dominio.

  • DKIM (DomainKeys Identified Mail): DKIM garantiza la autenticidad e integridad del correo electrónico añadiendo una firma digital al encabezado del correo electrónico. Esto se logra mediante un par de claves criptográficas: una privada y otra pública. La clave privada se usa para firmar el correo electrónico, y el servidor receptor usa la clave pública, publicada en los registros DNS de tu dominio, para verificar la firma. Para obtener instrucciones de configuración, consulta Configure los registros TXT de DKIM para su dominio.

  • DMARC (autenticación, informes y conformidad de mensajes basados en el dominio): DMARC se basa en SPF y DKIM y proporciona instrucciones a los servidores receptores sobre cómo gestionar los correos electrónicos que no pasen estas comprobaciones. Publica una política en el DNS que indica a los servidores de correo receptores qué hacer con los correos electrónicos que no pasan la verificación SPF o DKIM, por ejemplo, rechazarlos o ponerlos en cuarentena. El DMARC también proporciona un mecanismo para recibir informes sobre la actividad de autenticación del correo electrónico, que puedes utilizar para supervisar el correo electrónico enviado desde tu dominio e identificar a los remitentes que puedan estar suplantando la identidad de tu dominio. Para obtener instrucciones de configuración, consulte Configure los registros TXT de DMARC para su dominio.

Configure los registros TXT SPF para su dominio

Sender Policy Framework (SPF) es un protocolo de autenticación de correo electrónico diseñado para evitar los ataques de suplantación de identidad y suplantación de identidad mediante la especificación de qué servidores de correo están autorizados a enviar correos electrónicos en nombre de su dominio. Al configurar un registro SPF, ayudas a los servidores destinatarios a verificar que los correos electrónicos que dicen provenir de tu dominio se envían realmente desde servidores autorizados. Si se envía un correo electrónico desde un servidor no autorizado, es posible que se marque como correo no deseado o que se rechace

Nota

Para obtener ayuda con la información de inicio de sesión, la configuración o los registros TXT de tu dominio, ponte en contacto con tu proveedor de dominio.

Antes de configurar el SPF, asegúrate de tener:

  • Acceso al proveedor de dominio: Credenciales para iniciar sesión en la consola de administración de tu proveedor de dominios. El SPF se configura en tu proveedor de alojamiento de dominios, no en tu consola de administración de Google

  • (Opcional) Registro SPF existente: Compruebe si ya hay un registro SPF configurado.

  • Información del servidor de correo: una lista de direcciones IP o dominios de todos los servidores de correo que envían correo electrónico en nombre de su dominio.

Para configurar el SPF:

  1. Inicia sesión en la consola de administración de tu proveedor de dominios: Inicia sesión en la consola de administración proporcionada por tu proveedor de dominio (por ejemplo, GoDaddy). Busca la página o el panel dedicado a actualizar los registros DNS TXT de tu dominio

  2. Compruebe el registro SPF existente: Es posible que ya tengas un registro TXT configurado para SPF con tu proveedor de dominio. Comprueba si ya existe un registro SPF Caja de herramientas de administración de Google:

    • Ingresa tu nombre de dominio y haz clic ¡Ejecute Checks!.

    • Tras la prueba, haga clic Intervalos de direcciones SPF efectivos.

    • Revise los resultados de las entradas SPF existentes, como:

      • _spf.google.com

      • _netblocks.google.comseguido de varias direcciones IP

      • _netblocks2.google.comseguido de varias direcciones IP

      • _netblocks3.google.comseguido de varias direcciones IP

        Nota

        Los resultados contienen un resumen que contiene indicadores que muestran si el flujo de correo es:

        • funcionando sin problemas y sin necesidad de realizar ninguna acción,

        • funcionando pero indicando los problemas que deben abordarse, o

        • necesita configurarse.

  3. Defina su registro SPF: Para definir su registro SPF, debe crear un registro TXT. Después de iniciar sesión en la consola de administración de tu dominio, busca la página en la que puedes actualizar los registros TXT de tu dominio. Ten en cuenta que un único dominio solo puede tener un registro TXT para SPF

    • Registro SPF: Si solo usas Google Workspace. Si todos los correos electrónicos de tu organización se envían únicamente con Google Workspace, copia esta línea de texto para tu registro SPF:

      v=spf1 include:_spf.google.com ~all

    • Registro SPF: si utilizas Google Workspace y otros remitentes. Si envías correo de otras formas además de Google Workspace, debes crear un registro TXT personalizado para que SPF autorice a estos remitentes. Tu registro SPF debe incluir una referencia a Google Workspace y a todos los servidores que envían correos electrónicos a tu organización o dominio. Estos pueden incluir los servicios que envían correos electrónicos automáticos (por ejemplo, los formularios de contacto) y cualquier proveedor o servicio externo que envíe correos electrónicos para tu dominio

      Para crear un registro TXT personalizado para tu registro SPF que incluya una referencia a Google Workspace y a otros remitentes que utilices:

      (Tenga en cuenta que las direcciones IP y los nombres de dominio utilizados en los pasos siguientes son ejemplos. Sustitúyalos por direcciones IP y dominios para tus remitentes. Un registro normal tendrá una combinación de elementos.

      1. Empieza con el registro SPF de Google Workplace:

        v=spf1 include:_spf.google.com ~all

      2. Agregar direcciones IP autorizadas: enumere las direcciones IP únicas (por ejemplo, 198.51.100.1 y 2001:db 8:1:1:1:1:1) o las subredes IP (por ejemplo, 198.51.100.0/24 y 2001:db 8:1:1: :/64) autorizadas para enviar correos electrónicos. Utilice el ip4: etiqueta para direcciones IPv4 y la ip6: etiqueta para direcciones IPv6. Por ejemplo

        v=spf1 ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:_spf.google.com ~all

      3. Incluya servicios de terceros: si otros servicios envían correos electrónicos en su nombre, utilice el include: etiqueta para incluir otro dominio o subdominio. Por ejemplo

        v=spf1 ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      4. Especifique servidores de correo: si otros servidores de correo envían correos electrónicos en su nombre, utilice el a: etiqueta. Por ejemplo:

        v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      5. Especifique la política para servidores no autorizados: terminar con ~all para definir cómo se deben tratar los correos electrónicos de servidores no autorizados. Por ejemplo, como ya se especificó en el registro SPF utilizado para Google Workspace

        v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      Empezar con un error leve (~all) se recomienda supervisar y ajustar el registro SPF sin interrumpir la entrega del correo electrónico, asegurándose de que todas las fuentes legítimas de correo electrónico estén correctamente autorizadas antes de aplicar una estricta ley de error (-all). ~all suele ser eficaz, ya que marca como spam los mensajes que no coinciden.

      • ~all (error leve): se aceptan correos electrónicos de servidores que no figuran en la lista, pero se marcan como sospechosos.

      • -all (error grave): los correos electrónicos de los servidores que no figuran en la lista se rechazan rotundamente.

    Ejemplo de registro SPF

    Descripción

    v=spf1 ip4:198.51.100.0/24 include:_spf.google.com ~all

    Autoriza los correos electrónicos de:

    • Servidores con direcciones IP entre 198.51.100.0 y 198.51.100.255

    • Espacio de trabajo de Google

    Este registro permite enviar correos electrónicos de un rango de direcciones IPv4 específico y de Google Workspace, marcando las fuentes que no figuran en la lista como sospechosas.

    v=spf1 ip4:198.51.100.0/24 include:_spf.google.com include:thirdpartydomain.com ~all

    Autoriza los correos electrónicos de:

    • Servidores con direcciones IP entre 198.51.100.0 y 198.51.100.255

    • Espacio de trabajo de Google

    • Servicio de correo electrónico de terceros Thirdpartydomain

    Este registro permite enviar correos electrónicos de un rango de direcciones IPv4 específico, de Google Workspace y de un servicio externo adicional, y marcar los correos electrónicos no incluidos en la lista como sospechosos.

    v=spf1 ip6:2001:db8::/32 include:_spf.google.com ~all

    Autoriza los correos electrónicos de:

    • Servidores con direcciones IP entre 2001:db 8:0000:0000:0000:0000:0000 y 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff

    • Espacio de trabajo de Google

    Este registro permite enviar correos electrónicos de un amplio rango de direcciones IPv6 y de Google Workspace, marcando como sospechosas las fuentes que no figuran en la lista.

    v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8::/32 include:_spf.google.com ~all

    Autoriza los correos electrónicos de:

    • Servidor de correo mail.exampledomain.com

    • Servidores con direcciones IP entre 198.51.100.0 y 198.51.100.255

    • Servidores con direcciones IP entre 2001:db 8:0000:0000:0000:0000:0000 y 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff

    • Espacio de trabajo de Google

    Este registro abarca los rangos de IPv4 e IPv6, Google Workspace y un servidor de correo específico, y marca a otros como sospechosos.

  4. Agregar registro SPF: Para activar el SPF en tu dominio, agrega tu registro SPF en la consola de administración de tu proveedor de dominio:

    1. sesión en la consola de administración de tu proveedor de dominios: inicia sesión en la consola de administración proporcionada por tu proveedor de dominio. Busca la página o el panel dedicado a actualizar los registros TXT de DNS de tu dominio

    2. Introduzca estos valores:

      Nombre de campo

      Valor a introducir

      Tipo

      TXT

      Anfitrión

      • Para el dominio raíz: @

      • Al configurar un registro SPF, utilice @ en el campo Host de tu dominio raíz y consolida todos los elementos (p. ej., include:, ip4:, ip6:, a:) en un único registro TXT, ya que un dominio solo puede tener un registro TXT SPF.

      Valor

      • Si solo usas Google Workspace, introduce: v=spf1 include:_spf.google.com ~all

      • • Si utiliza remitentes de correo electrónico adicionales, introduzca el registro SPF que creó.

      Tiempo para vivir (TTL)

      1 hora o 3600 segundos

Solución de problemas de SPF

Nota

Para obtener ayuda con la información de inicio de sesión, la configuración o los registros TXT de tu dominio, ponte en contacto con tu proveedor de dominio.

Si has configurado el SPF (Sender Policy Framework) pero tienes problemas como un error en la autenticación SPF, el rechazo de correos electrónicos o los mensajes que llegan a las carpetas de correo no deseado, sigue estos pasos de solución de problemas:

  1. Verificar la configuración del registro SPF

    • Compruebe el registro SPF existente: Usa una herramienta como MXToolbox o la interfaz de administración de DNS de su dominio para confirmar que existe un registro SPF para su dominio.

    • Definir y agregar registro SPF: Asegúrese de que su registro SPF tenga el formato correcto e incluya todos los servidores de correo pertinentes. Por ejemplo, un registro SPF podría tener el siguiente aspecto v=spf1 ip4:192.168.0.1 include:_spf.example.com -all.

  2. Compruebe los resultados de la autenticación SPF

    • Encabezados de correo electrónico: En Gmail, abre un correo electrónico, haz clic en los tres puntos de la esquina superior derecha y selecciona «Mostrar original» para ver los resultados del SPF en la sección «Resultados de la autenticación».

    • Caja de herramientas de administración de Google: Copia los encabezados de los correos electrónicos y usa la herramienta de encabezado de mensajes de Google Admin Toolbox para analizar los resultados del SPF.

  3. Asegúrese de que todos los remitentes estén incluidos en el registro SPF

    • Revise las entradas de SPF: Asegúrese de incluir todos los servidores y servicios de correo que envían correos electrónicos a su dominio. Esto incluye los proveedores de correo electrónico de terceros y los formularios de sitios web.

    • Actualizar registro SPF: Agregue las direcciones IP o los dominios que falten a su registro SPF. Por ejemplo, si utilizas un servicio de marketing por correo electrónico, asegúrate de añadir a tu registro las direcciones IP de envío o los mecanismos de inclusión

  4. Problemas de reenvío de correo electrónico de direcciones

    • Compruebe los detalles de reenvío: Usa la búsqueda en el registro de correos electrónicos para verificar si los correos electrónicos reenviados no cumplen con el SPF. Busca la dirección del destinatario original para confirmar si se trata de un reenvío

    • Servicio de reenvío de contactos: Ponte en contacto con un servicio de reenvío externo para comprobar si pueden ajustar su método de reenvío o proporcionarte información sobre los problemas del SPF.

  5. Solución de problemas avanzada de SPF

    • Analice los encabezados de los mensajes: consulte la sección «Resultados de autenticación» para ver los resultados de SPF, como «softfail», «fail» o «neutral», y direccione en función del resultado. Por ejemplo:

      • Sin entrada SPF: Asegúrese de que su registro SPF esté configurado correctamente.

      • Softfail o falla: Comprueba que todas las direcciones IP de envío legítimas estén incluidas en tu registro SPF.

      • tEmError o PermError: Compruebe si hay problemas de DNS o si se ha superado el límite de 10 búsquedas.

  6. Compruebe el DNS Búsquedas

    • Recuentos de búsquedas de monitores: Los registros SPF están limitados a 10 búsquedas de DNS. Por lo tanto, tu registro TXT de SPF no puede incluir más de 10 referencias a otros dominios. Cada uno de estos mecanismos, incluidas las búsquedas anidadas, de tu registro SPFa, mx, include, ptr. Usa herramientas como Check MX de Google Admin Toolbox para supervisar los recuentos de búsquedas y ajustar tu registro SPF para evitar superar este límite.

Configure los registros TXT de DKIM para su dominio

DKIM, o DomainKeys Identified Mail, es un método esencial de autenticación de correo electrónico que ayuda a proteger tu dominio contra la suplantación de identidad y evita que los mensajes salientes se marquen como spam. La suplantación de identidad es una práctica engañosa por la que se falsifica la dirección del remitente para que parezca que pertenece a una organización o un dominio legítimos. El DKIM desempeña un papel crucial al detectar cualquier modificación no autorizada del contenido de los mensajes, incluidos los cambios en la dirección de origen. Sin DKIM, es más probable que los servidores de correo receptores marquen como spam los correos electrónicos enviados desde tu dominio. Para garantizar que tus mensajes se entreguen de forma fiable, especialmente a los usuarios de Gmail, se recomienda configurar el DKIM junto con la autenticación SPF (Sender Policy Framework) para tu dominio. Esto ayuda a cumplir las directrices de Google sobre remitentes de correo electrónico y mejora la autenticación de los correos electrónicos de tu organización

Nota

Para obtener ayuda con la información de inicio de sesión, la configuración o los registros TXT de tu dominio, ponte en contacto con tu proveedor de dominio.

Antes de configurar DKIM, asegúrese de tener:

  • Acceso de administrador de Google: Credenciales para iniciar sesión en la consola de administración de Google. Recibirás tu clave DKIM en la consola de administración de Google

  • Acceso al proveedor de dominio: Credenciales para iniciar sesión en la consola de administración de tu proveedor de dominios. Añadirás la información clave del DKIM de tu consola de administración de Google a la configuración de tu proveedor de dominio

  • Configuración de puertas de enlace salientes configurada para no alterar los correos electrónicos después de su envío: Compruebe que la configuración de las pasarelas de correo electrónico saliente no interfiere con el correcto funcionamiento de la autenticación DKIM para los mensajes salientes, ya que modificaciones como añadir pies de página o reescribir el contenido después de enviar el mensaje pueden provocar que el correo electrónico no supere la verificación por DKIM.

    • Configure la puerta de enlace para que no modifique los mensajes salientes o configure la puerta de enlace para que primero cambie el contenido del mensaje y, a continuación, agregue la firma DKIM.

  • Clave DKIM existente (opcional): Comprueba si hay una clave DKIM existente para tu dominio.

Para configurar DKIM:

  1. Inicia sesión en tu consola de administración de Google: Accede a tu consola de administración de Google. Debes iniciar sesión como superadministrador para obtener tu clave DKIM

  2. Comprobar la clave DKIM existente: Si ya utilizas una clave DKIM para tu dominio, podría ser con Google Workspace o con otro sistema de correo electrónico.

    1. En la consola de administración de Google, ve a Menú y selecciona Aplicaciones, selecciona Google Workspace, y haga clic Gmail.

    2. Haga clic Autenticar el correo electrónico y selecciona el dominio en el que deseas registrar Dominio seleccionado menú.

    3. Localice el Nombre de host DNS (nombre de registro TXT) sección:

      • Si nunca configuraste DKIM en Google Workspace, este campo estará vacío.

      • Si este campo tiene un valor, anote el texto anterior ._domainkey. Este es el prefijo de tu selector

    4. Navegue hasta el Caja de herramientas de administración de Google e introduce tu nombre de dominio en el campo Nombre de dominio.

    5. Haga clic en ¡Ejecute las comprobaciones! pulse el botón y espere a que finalice la prueba.

    6. Una vez finalizada la prueba, revise cuál de estos mensajes se muestra:

      • Configuración de DNS de autenticación DKIM: se configura una clave DKIM para el dominio y el selector.

      • DKIM no está configurado: no existe ninguna clave DKIM para tu dominio con el selector de prefijos introducido. Para resolver este problema, configura una nueva clave con el selector proporcionado (el selector predeterminado es google).

  3. Generar clave DKIM:

    1. En la consola de administración de Google, ve a Menú y selecciona Aplicaciones, selecciona Google Workspace, y haga clic Gmail.

    2. Haga clic Autenticar el correo electrónico y seleccione el dominio en el que desea configurar DKIM en el menú Dominio seleccionado.

    3. Haga clic enGenerar nuevo registrobotón.

    4. Selecciona la configuración de tu clave DKIM:

      Configuración

      Opciones

      Longitud de bits de la clave DKIM

      2048. Si tu proveedor de dominio admite claves de 2048 bits, selecciona esta opción. Las claves más largas son más seguras que las más cortas. 1024. Si el host de tu dominio no admite claves de 2048 bits, selecciona

      1024. Si el host de tu dominio no admite claves de 2048 bits, selecciona

      Selector de prefijos

      El prefijo del selector predeterminado es google. Te recomendamos que utilices el predeterminado. Pero si tu dominio ya usa una clave DKIM con el prefijo google, introduce un prefijo diferente

    5. Haga clic en Generar y copie los valores DKIM que se muestran en la ventana Autenticar correo electrónico:

      • Nombre de host DNS (nombre de registro TXT): este texto es el nombre del registro TXT DKIM que añadirá a los registros DNS de su proveedor de dominio.

      • Valor del registro TXT: este texto es la clave DKIM que añadirá a su registro TXT DKIM.

  4. Agregar clave DKIM: Tenga en cuenta que después de agregar una clave DKIM, la autenticación DKIM puede tardar hasta 48 horas en empezar a funcionar.

    1. sesión en la consola de administración de tu proveedor de dominios: inicia sesión en la consola de administración proporcionada por tu proveedor de dominio. Busca la página o el panel dedicado a actualizar los registros TXT de DNS de tu dominio

    2. Añadir un nuevo registro TXT para DKIM: introduce los siguientes valores y, a continuación, guarda los cambios.

      Nombre de campo

      Valor a introducir

      Nombre del registro TXT (en el primer campo, debajo del nombre de host DNS)

      Introduzca el Nombre de host DNS (nombre de registro TXT) se muestra en la consola de administración de Google.

      Valor del registro TXT (en el segundo campo)

      Introduzca el Valor del registro TXT (clave DKIM) se muestra en la consola de administración de Google.

  5. Activar la firma DKIM: Ten en cuenta que la página de autenticación del correo electrónico de tu consola de administración de Google puede seguir mostrando este mensaje durante un máximo de 48 horas: «Debes actualizar los registros DNS de este dominio. Si has añadido correctamente tu clave DKIM en tu proveedor de dominio, puedes ignorar el mensaje

    1. En la consola de administración de Google, ve a Menú y selecciona Aplicaciones, selecciona Google Workspace, y haga clic Gmail.

    2. Haga clic Autenticar el correo electrónico y seleccione el dominio en el que desea configurar DKIM en Dominio seleccionado menú.

    3. Haga clic en Iniciar la autenticación botón.

  6. Verifique la autenticación DKIM:

    1. Envía un mensaje de correo electrónico a alguien que utilice Gmail o Google Workspace. (No puedes verificar que DKIM esté activado enviándote un mensaje de prueba).

    2. Abre el mensaje en la bandeja de entrada del destinatario y busca el encabezado completo del mensaje. (Los pasos para ver el encabezado del mensaje varían según la aplicación de correo electrónico. Para mostrar los encabezados de los mensajes en Gmail, junto a Responder, haz clic en Más Mostrar original).

    3. En el encabezado del mensaje, busca Authentication-Results. Los servicios de recepción utilizan diferentes formatos para los encabezados de los mensajes entrantes; sin embargo, los resultados del DKIM deberían decir algo comoDKIM=passoDKIM=OK. Si el encabezado del mensaje no incluye una línea sobre DKIM, los mensajes enviados desde tu dominio no se firman con DKIM

Solución de problemas de DKIM

Nota

Para obtener ayuda con la información de inicio de sesión, la configuración o los registros TXT de tu dominio, ponte en contacto con tu proveedor de dominio.

Si los correos electrónicos de tu dominio no pasan la autenticación DKIM o se rechazan o marcan como correo no deseado, sigue estos pasos para solucionar los problemas de DKIM:

  1. Verificar la configuración de DKIM

    1. Obtenga la clave DKIM: en la consola de administración, obtenga la clave DKIM necesaria para su dominio.

    2. Agregar clave DKIM: agrega la clave DKIM como registro TXT en la configuración de DNS de tu proveedor de dominio. Asegúrese de que la clave esté correctamente ingresada y completa

    3. Activar DKIM: en la consola de administración, habilita la firma DKIM para tu dominio.

  2. Compruebe los resultados de la autenticación DKIM

    1. Verificar mensajes: envía un correo electrónico de prueba a una cuenta de correo electrónico personal (por ejemplo, Gmail) para descartar problemas con servidores de recepción específicos.

    2. Revisa los encabezados de los correos electrónicos: en Gmail, haz clic en «Mostrar original» para ver el estado del DKIM en el encabezado «Resultados de autenticación».

    3. Usa la caja de herramientas de administración de Google: analiza los encabezados de los mensajes con Herramienta de encabezado de mensajes de Google Admin Toolbox para comprobar los resultados de DKIM.

  3. Confirme la integridad de la clave DKIM

    1. Compruebe el registro TXT DKIM: asegúrese de que su registro TXT DKIM no esté truncado y esté formateado correctamente. Las claves DKIM de más de 255 caracteres se pueden

    2. Comparar registros: usa la herramienta Google Admin Toolbox Dig para comprobar que el valor del registro TXT coincide con la clave de tu consola de administración. Introduce tu registro DKIM (por ejemplo, Google). _domainkey) seguido de tu dominio para

  4. Problemas de reenvío de mensajes de dirección

    1. Compruebe si hay modificaciones: inspeccione el encabezado «Resultados de autenticación» para ver si hay mensajes que indiquen que el hash del cuerpo no se verificó, lo que indica que el correo electrónico se modificó durante el reenvío.

    2. Puertas de enlace de salida: asegúrese de que las puertas de enlace de salida no modifiquen el contenido de los mensajes salientes, ya que esto puede provocar errores de DKIM.

    3. Verificar el reenvío: utilice la búsqueda en el registro de correo electrónico para comprobar si los mensajes reenviados son la causa de los problemas de DKIM. Ponte en contacto con el servicio de reenvío si

  5. Póngase en contacto con los administradores de los mensajes firmados con DKIM rechazados

    1. Contacto: si DKIM está configurado correctamente, pero los mensajes siguen siendo rechazados o enviados a correo no deseado, ponte en contacto con el administrador del servidor de correo electrónico que lo rechaza para obtener más ayuda.

  6. Compruebe los límites de caracteres del registro TXT

    • Límites de revisión: asegúrate de que tus registros TXT de DKIM cumplan con los límites de caracteres de tu proveedor de dominio. La mayoría de los registros TXT pueden tener hasta 255 caracteres. Para los registros TXT que incluyen más de 255 caracteres, el DNS suma varias cadenas en un solo registro.

      Si utilizas una clave DKIM de 2048 bits, no puedes escribirla como una única cadena de texto en un registro DNS con un límite de 255 caracteres. En su lugar, sigue estos pasos:

      1. Divida los caracteres clave en varias cadenas de texto.

      2. Pon cada cadena entre comillas.

      3. Introduce las cadenas una tras otra en el campo Valor del registro TXT de tu proveedor de dominio.

Configure los registros TXT de DMARC para su dominio

autenticación, notificación y conformidad de mensajes basados en el dominio (DMARC) es un protocolo de autenticación de correo electrónico que se basa en el SPF (marco de políticas del remitente) y el DKIM (correo identificado con claves de dominio) para evitar los ataques de suplantación de identidad y suplantación de identidad por correo electrónico. Con DMARC, los propietarios de dominios pueden dar instrucciones a los servidores de correo receptores sobre cómo gestionar los correos electrónicos que

Los componentes clave de DMARC son:

  • Política (p): Especifica la acción que se debe tomar cuando un correo electrónico no pasa las comprobaciones de autenticación. Las opciones de política son ninguna (solo monitor), cuarentena (marcar como correo no deseado), o rechazar (no entregar).

  • Informes (rua=mailto:): Especifica dónde deben enviarse los informes DMARC. Estos informes proporcionan información detallada sobre los correos electrónicos que superan y no superan las comprobaciones de autenticación

Antes de configurar DMARC, asegúrese de tener:

  • Acceso al proveedor de dominio: Credenciales para iniciar sesión en la consola de administración de tu proveedor de dominios. El DMARC está activado en tu proveedor de alojamiento de dominios, no en tu consola de administración de Google

  • SPF y DKIM ya están configurados: Antes de implementar DMARC, asegúrese de que el marco de políticas de remitentes (SPF) y el correo identificado con claves de dominio (DKIM) estén activados en su dominio. Esta autenticación es esencial para la funcionalidad de DMARC, ya que este último indica a los servidores de correo receptores qué deben hacer cuando reciben un mensaje que parece provenir de su organización, pero el mensaje no pasa las comprobaciones de autenticación de correo electrónico SPF

    Aviso

    • Si no configuras SPF y DKIM antes de habilitar DMARC, es probable que los mensajes enviados desde tu dominio tengan problemas de entrega.

    • Espere 48 horas después de configurar SPF y DKIM antes de configurar DMARC.

  • (Opcional) Registro DMARC existente: Compruebe si hay un registro DMARC existente para su dominio.

  • Autenticación de correo de: Asegúrese de que los mensajes enviados por proveedores externos estén autenticados para cumplir con las políticas de DMARC. Para mejorar la autenticación de los mensajes enviados por proveedores externos

    • Confirme con su proveedor externo que DKIM está configurado correctamente.

    • Asegúrese de que el dominio del remitente del sobre utilizado por el proveedor coincida con su dominio.

    • Agregue las direcciones IP de los servidores de correo de envío del proveedor al registro SPF de su dominio.

Configurar DMARC

Para configurar DMARC:

  1. Inicia sesión en la consola de administración de tu proveedor de dominios: Accede a la plataforma de tu proveedor de dominios y dirígete a la sección de administración de registros DNS TXT.

  2. Compruebe el registro DMARC existente: Antes de configurar DMARC, compruebe si su dominio ya tiene un registro DMARC DNS TXT. Si lo hay, revise los informes de DMARC para confirmar que la autenticación y la entrega de los mensajes se han realizado correctamente. Para comprobar en tu proveedor de dominio si hay un registro TXT para DMARC

    1. Inicia sesión en la consola de administración proporcionada por tu proveedor de dominio.

    2. Busca la página o el panel dedicado a actualizar los registros DNS TXT de tu dominio.

    3. Revisa los registros DNS TXT asociados a tu dominio. Si existe un registro DMARC, normalmente empezará por v=DMARC.

  3. Defina su registro DMARC: Para definir su registro DMARC, debe crear un registro TXT que defina con qué rigor debe comprobar DMARC los mensajes y las acciones recomendadas para los servidores receptores.

    medida que comience a implementar DMARC, le sugerimos que comience con una política de cumplimiento relajada establecida en «ninguna». «A medida que vayas descubriendo cómo los servidores receptores autentican los mensajes de tu dominio, ajusta gradualmente tu política, pasando de «ninguno» a «cuarentena» y, por último, a «rechazar». «

    El registro DMARC tiene la forma de una línea de texto plano que consiste en una lista de valores de etiquetas DMARC, separados por punto y coma. Algunas etiquetas son obligatorias y otras son opcionales. Ejemplo: v=Dmarc1; p=reject; rua=mailto: mailbox@example.com, mailto: dmarc@example.com; pct=10; adkim=r; aspf=r

    Etiqueta

    ¿Necesario?

    Descripción

    Valores

    v

    Requ

    Especifica la versión de DMARC.

    Debe ser DMARC1.

    p

    Necesario

    Indica al servidor de correo receptor las acciones que deben tomar los mensajes que no se autentican.

    none — No realice ninguna acción, entregue el mensaje y regístrelo. Los informes se envían a la dirección de correo electrónico especificada en la etiqueta rua.

    quarantine — Marque el mensaje como correo no deseado y envíelo a la carpeta de correo no deseado. Los destinatarios pueden revisar su legitimidad.

    reject — Rechaza el mensaje y, por lo general, envía un mensaje de devolución al remitente.

    pct

    Necesario

    Define el porcentaje de mensajes sujetos a la política DMARC.

    Debe ser un número entero de1para100. Si no se especifica, la política se aplica al 100% de los mensajes.

    calle

    Opcional

    Reciba informes de DMARC enviados a una dirección de correo electrónico. La dirección de correo electrónico debe incluirenviar un correo a:.

    Para enviar informes DMARC a varios correos electrónicos, separe cada dirección de correo electrónico con una coma y añada el prefijo mailto: antes de cada dirección.

    Ejemplo: mailto: dmarc-reports@example.com, mailto: dmarc-admin@example.com (reemplaza example.com por tu dominio).

    sp

    Opcional

    Establece la política para los subdominios de tu dominio principal.

    none — No realice ninguna acción, entregue el mensaje y regístrelo. Los informes se envían a la dirección de correo electrónico especificada en la etiqueta rua.

    quarantine — Marque el mensaje como correo no deseado y envíelo a la carpeta de correo no deseado. Los destinatarios pueden revisar su legitimidad.

    reject — Rechaza el mensaje y, por lo general, envía un mensaje de devolución al remitente.

    Si no se especifica, los subdominios heredan la política del dominio principal.

    admin

    Opcional

    Especifica la política de alineación para DKIM e indica en qué medida el dominio del remitente debe coincidir estrictamente con el d=domainname en firmas DKIM.

    S: alineación estricta. El nombre de dominio del remitente debe coincidir exactamente con el d=domainname correspondiente en

    R: alineación relajada (por defecto). Permite coincidencias parciales. Se acepta cualquier subdominio válido de d=domain en los encabezados de correo DKIM

    adspf

    Opcional

    Especifica la política de alineación para SPF e indica en qué medida el dominio del remitente debe coincidir estrictamente con el dominio del comando SMTP MAIL FROM.

    S: alineación estricta. El dominio del remitente debe coincidir exactamente con el dominio del comando SMTP MAIL FROM

    R: alineación relajada (por defecto). Permite coincidencias parciales. Se acepta cualquier subdominio válido del nombre de dominio

  4. Agregar registro DMARC: Tenga en cuenta que DKIM y SPF deben autenticar los mensajes durante al menos 48 horas antes de activar DMARC.

    1. Inicia sesión en la consola de administración de tu proveedor de dominios: Inicia sesión en la consola de administración proporcionada por tu proveedor de dominio. Busca la página o el panel dedicado a actualizar los registros DNS TXT de tu dominio.

    2. Agregue un nuevo registro TXT para DMARC. Introduzca los siguientes valores y, a continuación, guarde los cambios

      Nombre de campo

      Valor a introducir

      Nombre del registro TXT (en el primer campo, debajo del nombre de host DNS)

      Entrar _dmarc.exampledomain.com (reemplazar exampledomain.com con tu dominio)

      Valor del registro TXT (en el segundo campo)

      Introduzca el texto de su política DMARC.

      Por ejemplo, introduzca v=DMARC1; p=none; rua=mailto:dmarc-reports@exampledomain.com (reemplazar exampledomain.com con tu dominio).

  5. Ampliar a subdominios y dominios adicionales (si corresponde). Si tienes varios dominios o subdominios, cada dominio puede tener una política diferente y diferentes opciones de informe (definidas en el registro). Para definir una política DMARC para los subdominios, utilice la etiqueta de política sp en el registro DMARC del dominio principal. Si no creas políticas DMARC para los subdominios, estos heredarán la política DMARC del dominio principal

Supervise los informes DMARC

Supervise regularmente los informes sobre la actividad de DMARC en su dominio. Estos informes, que se envían a la dirección de correo electrónico especificada en la política de DMARC (etiqueta rua), proporcionan información sobre la actividad del servidor de correo electrónico. Ajuste su política de DMARC según sea necesario en función de estos informes

Revise los informes para averiguar:

  • Qué servidores o remitentes de terceros envían correo a tu dominio

  • ¿Qué porcentaje de los mensajes de su dominio pasan por DMARC?

Busca cualquier tendencia problemática, como:

  • Los mensajes válidos se marcan como spam

  • Mensajes de rebote o de error de los destinatarios

Poner en cuarentena un pequeño porcentaje de mensajes

Inicialmente, comience con una política de DMARC relajada con la aplicación establecida en cero. Esto le permite empezar a recibir informes sin correr el riesgo de que los servidores receptores rechacen los mensajes de su dominio o los marquen como spam. Tras observar los informes de DMARC durante al menos una semana, ajusta tu política a la de «cuarentena» y añade la etiqueta pct para aplicar la política a un pequeño porcentaje de

Para poner en cuarentena un porcentaje pequeño de mensajes:

  1. Inicie sesión en la consola de administración proporcionada por su proveedor de alojamiento de dominios para actualizar el registro DMARC DNS TXT.

  2. Agregue una política que afecte a un pequeño porcentaje de mensajes y aplique la cuarentena. Por ejemplo, una política que se aplique solo al 5% de los correos electrónicos entrantes y dirija los mensajes que no superen las comprobaciones de DMARC a las carpetas de correo no deseado de los destinatarios

    v=DMARC1; p=quarantine; pct=5; rua=mailto:dmarc-reports@exampledomain.com

Sugerencia

Las grandes organizaciones deben aumentar gradualmente el porcentaje de mensajes afectados para minimizar el riesgo de rechazos o marcas de spam. Por ejemplo, una organización pequeña puede empezar con una cuarentena del 10%, mientras que una empresa más grande puede

Solución de problemas de DMARC

Si los correos electrónicos de su dominio no cumplen con la autenticación DMARC, son rechazados por los servidores receptores o llegan a las carpetas de spam de los destinatarios, siga estos pasos para solucionar los problemas de DMARC:

  1. Verificar el registro DMARC

    • Compruebe la configuración: Asegúrese de que su registro DMARC esté configurado correctamente. Verifique que el registro DMARC esté correctamente configurado con su proveedor de dominio y que esté presente en su configuración de DNS

  2. Asegúrese de que SPF y DKIM estén habilitados

    • Habilitar SPF y DKIM: Confirme que SPF y DKIM están habilitados y configurados correctamente para su dominio. Ambos deben estar activos durante al menos 48 horas antes de habilitar

    • Configuración detallada: Siga las instrucciones de configuración de SPF y DKIM para asegurarse de que se implementan correctamente.

  3. Comprobar los resultados de la autenticación

    • Revisar los encabezados: Inspeccione los encabezados de los correos electrónicos para verificar los resultados de SPF, DKIM y DMARC. En Gmail, haz clic en «Mostrar original» para

    • Utilice herramientas de diagnóstico: Introduzca los encabezados de los mensajes en Herramienta de encabezado de mensajes de Google Admin Toolbox para comprobar los estados de autenticación.

  4. Compruebe los informes DMARC

    • Compruebe los informes: Compruebe sus informes de DMARC para asegurarse de que los mensajes superan las comprobaciones de SPF, DKIM y DMARC. Puede utilizar una herramienta o un servicio de análisis de informes DMARC

  5. Abordar las fallas de DMARC

    • Resolver errores: Si los mensajes salientes no funcionan con DMARC, compruebe la configuración de SPF y DKIM. Asegúrese de que los mensajes pasen al menos una de estas comprobaciones para cumplir con las

    • Revise la política DMARC: Verifique su política de DMARC y su configuración de alineación. Una política estricta puede provocar un aumento de las tasas de rechazo o de envío de spam.

    • Revisa los informes diarios: Examine los informes diarios de DMARC para identificar qué mensajes salientes no superan los criterios SPF, DKIM o DMARC.

  6. Evalúe las prácticas de envío de correo

    • Siga las mejores prácticas: Asegúrese de cumplir con las prácticas recomendadas para enviar correos electrónicos, especialmente si envía grandes volúmenes. Consulta las directrices para enviar correos electrónicos a los usuarios de Gmail.

  7. Utilice la búsqueda de registros de correo electrónico para obtener información

    • Búsqueda detallada: Utiliza la búsqueda en el registro de correo electrónico para obtener información detallada sobre mensajes específicos enviados a través de Google Workspace. Busca por dirección IP del remitente y revisa los detalles de los mensajes para diagnosticar problemas.

Was this article helpful?

Regresar al inicio