¿Tus correos llegan a spam? SPF, DKIM y DMARC explicados para Pymes

Entre el 6 y el 9 de noviembre de 2026, muchos negocios recibieron rebotes al escribir a clientes con cuentas de Hotmail, Outlook o Live. El mensaje de error era claro: "Message lacks SPF/DKIM/DMARC Auth Records", es decir, "al mensaje le faltan registros de autenticación".

Microsoft atribuyó el problema a una actualización de sus filtros de spam que bloqueó correos por error, y la revirtió. Pero varios especialistas en entregabilidad notaron un patrón: los dominios afectados eran, sobre todo, los que no tenían DMARC configurado, sin importar cuántos correos enviaran.

Haya sido un error o un adelanto de lo que viene, el mensaje para cualquier Pyme es el mismo: si tu dominio no está autenticado, tus correos dependen de la buena voluntad de Gmail y Outlook. Y justo ahora, con cotizaciones de fin de año, promociones navideñas y facturas de cierre, es el peor momento para que un correo importante termine en la carpeta de spam.

La buena noticia: arreglarlo toma unos 15 minutos y no cuesta nada extra. Aquí te explicamos cómo.

SPF, DKIM y DMARC, sin tecnicismos
Piensa en tu correo como una carta oficial que envía tu empresa. Estos tres registros DNS son los sellos que demuestran que la carta realmente salió de tu oficina.

SPF: la lista de carteros autorizados
SPF (Sender Policy Framework) es una lista pública que dice qué servidores tienen permiso de enviar correo a nombre de tu dominio. Si un correo llega desde un servidor que no está en la lista, el destinatario sospecha.

Ejemplo: si usas tu hosting de UL HOST para el correo y además Mailchimp para boletines, ambos deben aparecer en tu SPF.

DKIM: la firma con sello de lacre
DKIM (DomainKeys Identified Mail) agrega una firma digital a cada correo. El servidor que lo recibe verifica la firma con una llave pública publicada en tu DNS. Si alguien alteró el mensaje en el camino o lo falsificó, la firma no coincide.

DMARC: las instrucciones para el guardia de seguridad
DMARC (Domain-based Message Authentication, Reporting and Conformance) le dice a Gmail, Outlook y Yahoo qué hacer si un correo no pasa SPF ni DKIM: dejarlo pasar (none), mandarlo a spam (quarantine) o rechazarlo (reject). Además, te envía reportes para que sepas quién está enviando correo con tu nombre.

Sin DMARC, cualquiera puede intentar suplantar tu dominio para mandar facturas falsas o enlaces de phishing a tus clientes. Con DMARC, cierras esa puerta.

¿Qué exigen hoy Gmail, Outlook y Yahoo?
Los grandes proveedores de correo endurecieron sus reglas en los últimos dos años:

Proveedor Todos los remitentes Envíos masivos (5,000+ correos al día)
Gmail (desde feb. 2024, con rechazos activos desde nov. 2025) SPF o DKIM válidos SPF y DKIM, DMARC (mínimo p=none) alineado con tu dominio, baja de suscripción en un clic y tasa de spam menor a 0.3%
Yahoo SPF o DKIM válidos Requisitos muy similares a los de Gmail
Outlook / Hotmail / Live (desde mayo 2025) Buenas prácticas recomendadas SPF y DKIM válidos, DMARC (mínimo p=none) alineado; el incumplimiento se rechaza con el error 550 5.7.515
"Pero yo no mando 5,000 correos al día", quizás pienses. Es cierto que las reglas estrictas aplican a envíos masivos, pero:

Los filtros de spam premian a los dominios autenticados, sin importar el volumen. Un dominio sin DMARC tiene más probabilidades de terminar en spam.
Lo que pasó en noviembre con Outlook muestra que los filtros pueden cambiar sin previo aviso, y los dominios sin autenticación son los primeros afectados.
Una sola campaña navideña con tu lista de clientes puede superar el umbral sin que te des cuenta.

Cómo configurarlo en cPanel paso a paso
Si tu correo está en tu hosting de UL HOST, cPanel hace casi todo el trabajo por ti.

Paso 1: Revisa SPF y DKIM con "Email Deliverability"
Entra a tu cPanel.
En la sección Correo electrónico, abre Email Deliverability (Entregabilidad del correo).
Verás tu dominio con el estado de DKIM, SPF y PTR (DNS inverso).
Si alguno aparece con advertencia, haz clic en Manage y luego en Install the suggested record (Instalar el registro sugerido).
Listo: SPF y DKIM quedan activos para el correo que sale de tu hosting.

Importante: si tu dominio usa DNS externos (por ejemplo, Cloudflare), cPanel te mostrará el registro sugerido, pero tendrás que copiarlo y pegarlo en el panel de ese proveedor.

Paso 2: ¿Usas otros servicios para enviar correo? Agrégalos al SPF
Tu dominio solo puede tener un registro SPF. Si además del hosting envías desde otros servicios, todos deben ir en el mismo registro. Ejemplo:

v=spf1 +a +mx include:_spf.google.com include:servers.mcsv.net ~all
include:_spf.google.com → si usas Google Workspace.
include:servers.mcsv.net → si usas Mailchimp.
Cada plataforma (Mailchimp, Brevo, tu tienda en línea, tu sistema de facturación) te indica qué valor agregar.
Ojo: SPF tiene un límite de 10 consultas DNS. Si agregas demasiados include, el registro deja de funcionar.

Paso 3: Crea tu registro DMARC
cPanel no siempre lo crea automáticamente, así que hazlo a mano:

En cPanel, abre Zone Editor (Editor de zona) y elige tu dominio.
Haz clic en + Add Record y selecciona tipo TXT.
Llena los campos:
Nombre: _dmarc.tudominio.mx
Valor: v=DMARC1; p=none; rua=mailto:dmarc@tudominio.mx
Guarda.
Con p=none no se bloquea nada: solo empiezas a recibir reportes. Te recomendamos crear un buzón como dmarc@tudominio.mx exclusivamente para recibirlos.

Paso 4: Si tu correo está en Google Workspace
En la Consola de administración de Google ve a Apps → Google Workspace → Gmail → Autenticar correo electrónico.
Genera la clave DKIM y copia el registro TXT (normalmente se llama google._domainkey).
Pégalo en el Zone Editor de cPanel.
Regresa a la consola de Google y haz clic en Iniciar autenticación.
Paso 5: Verifica que funciona
Envía un correo a una cuenta de Gmail, ábrelo, haz clic en los tres puntos y elige Mostrar original. Debes ver:

SPF: PASS
DKIM: PASS
DMARC: PASS
Si los tres dicen PASS, ya cumpliste.