Tu resultado
El resultado dice si tu dominio publica un SPF válido, una clave DKIM bajo los selectores de tu proveedor y una política DMARC, y luego lista las correcciones en orden y las guías de tu proveedor.
¿Dudas? Envíame tu nombre de dominio y tu proveedor, y te digo en 24 h qué falta y qué hacer. Gratis, sin compromiso.
Enviar mi nombre de dominio¿Prefieres que me ocupe yo? Configuración de SPF, DKIM y DMARC en tu zona DNS (OVH, o2switch, IONOS, Gandi, Infomaniak…), fusión de un SPF existente, activación de DKIM en cada servicio de envío, correos de prueba e informe por escrito. Diagnóstico gratuito, configuración con presupuesto, respuesta en 24 h.
Pedir un presupuestoOrange, el mayor proveedor de correo particular de Francia, exige ahora SPF, DKIM y DMARC a todos los remitentes, sea cual sea el volumen (reglas actualizadas el 1 de septiembre de 2026). laposte.net pide los tres desde septiembre de 2025, iCloud también, y Gmail rechaza cada vez más mensajes sin autenticar desde noviembre de 2025. Una pequeña empresa que envía sus presupuestos y facturas desde su propio dominio está afectada desde el primer correo. Esta herramienta lee los registros DNS públicos de tu dominio, reconoce tu proveedor de buzón y tus servicios de envío, busca la clave DKIM bajo sus selectores, y te dice qué falta y en qué orden corregirlo.
Herramienta creada por Léo Guillaume, desarrollador freelance cerca de Rennes, Francia. Configuro el envío de correo de las webs, tiendas y software de gestión que entrego a pequeñas empresas, a distancia, y respondo en 24 horas.
Actualizado el
Lo que exigen los proveedores de correo
Cada gran proveedor de correo ha publicado sus reglas. Aquí están tal como se escribieron, con la fecha y la página oficial, sin dramatizar. Para una pequeña empresa en Francia, las dos primeras líneas cuentan más que las siguientes.
1 de septiembre de 2026
La página postmaster de Orange, actualizada el 1 de septiembre de 2026, pide que los tres mecanismos pasen: SPF requerido, DKIM requerido (un mensaje sin firmar puede ser rechazado), DMARC requerido. Ningún umbral de volumen: las reglas se aplican a todo el mundo. Los códigos de error 515 (DMARC), 519 (SPF) y 535 (DKIM) remiten a estos ajustes.
Fuente: postmaster.orange.fr, actualización del 1 de septiembre de 20269 de septiembre de 2025
El postmaster de laposte.net anunció el 22 de agosto de 2025 que todo remitente hacia laposte.net, «particulares, empresas o remitentes de mensajes transaccionales o de marketing», debe implementar SPF, DKIM y DMARC, sin umbral de volumen. Los correos que fallen «serán considerados spam». No existe página oficial: la fuente es el anuncio recogido por dmarcian.
Fuente: dmarcian (FR), 3 de septiembre de 2025, actualizado el 11 de noviembre de 20251 de febrero de 2024
Desde el 1 de febrero de 2024, todo remitente hacia Gmail debe configurar SPF o DKIM, publicar un PTR válido, cifrar con TLS, mantenerse por debajo del 0,3 % de quejas y firmar con una clave DKIM de al menos 1.024 bits. A partir de 5.000 mensajes al día hacia cuentas Gmail personales: SPF y DKIM, DMARC (p=none aceptado), alineación y baja en un clic. Desde noviembre de 2025, los mensajes no conformes se rechazan de forma progresiva.
Fuente: Google, directrices para remitentes y FAQ sobre las exigencias5 de mayo de 2025
«Effective May 5th, 2025», los dominios que envían más de 5.000 mensajes al día hacia Outlook.com, Hotmail y Live deben pasar SPF, DKIM y DMARC (al menos p=none, reject recomendado), alineados. Los mensajes no conformes van primero a correo no deseado, y luego se rechazan con el error 550 5.7.515. Por debajo del umbral, Microsoft «recomienda encarecidamente» los tres a todos los remitentes.
Fuente: Outlook.com Postmaster, Policies, Practices and Guidelines25 de febrero de 2025
La página de Apple para remitentes pide SPF, DKIM, una política DMARC publicada por el dominio emisor, DNS inverso y un enlace de baja, sin umbral de volumen ni tasa de quejas cifrada. Frase clave: «All requirements must be met in order to send a bulk email. If not, the email will be rejected.»
Fuente: Apple, iCloud Mail – Best practices for senders7,8 %
Entre los dominios .fr con servidor de recepción, el 57,8 % publica un SPF, el 23,1 % al menos una clave DKIM y el 7,8 % un DMARC. De esos DMARC, el 73,6 % está en p=none: solo el 1,3 % de la zona .fr está en p=reject. Los errores técnicos de SPF son raros: menos del 2,3 % de políticas demasiado permisivas, el 0,005 % por encima de 10 consultas.
Fuente: AFNIC, estudio del 21 de marzo de 2023Para una pequeña empresa que envía 50 correos al día: en Francia, tus clientes tienen direcciones @orange.fr, @wanadoo.fr, @laposte.net o @icloud.com. Para ellos, «SPF o DKIM» no basta, hacen falta los tres, desde el primer correo. El umbral de 5.000 mensajes al día de Google y Microsoft solo afecta a sus propios buzones: no te protege. Por eso el veredicto de la herramienta apunta a SPF, DKIM y DMARC, con al menos p=none y una dirección de informes.
Qué comprueba la herramienta
No se envía nada: la herramienta consulta los servidores DNS públicos de tu dominio, sigue las inclusiones del SPF, sondea los selectores DKIM conocidos y descodifica la clave encontrada. También reconoce tu proveedor de buzón por los MX y tus servicios de envío por el SPF, para darte las guías correctas.
Un solo TXT que empieza por v=spf1, los servidores autorizados a enviar en tu nombre, como máximo 10 consultas DNS contando las inclusiones, un final en ~all o -all, ninguna inclusión que no resuelva, y el include de tu proveedor de buzón.
La clave pública bajo <selector>._domainkey, buscada bajo los selectores documentados por tu proveedor (google, selector1, default, gm1, s1-ionos, protonmail…) y los más habituales, y luego descodificada: 1.024 bits como mínimo, sin clave revocada (p= vacío), sin modo de prueba (t=y).
El TXT bajo _dmarc: un solo registro, v=DMARC1 primero, una política p=none, quarantine o reject, el porcentaje pct, la dirección de informes rua y, cuando está en otro dominio, la autorización _report._dmarc que permite a los destinatarios enviar los informes.
Por proveedor
La herramienta reconoce tu proveedor de buzón por los MX de tu dominio y tus servicios de envío por las inclusiones de tu SPF, y luego sondea los selectores que cada uno documenta. Cuando el selector se genera por cuenta (OVH, Amazon SES) o lo eliges tú (Zoho), no se puede adivinar: léelo en la cabecera DKIM-Signature de un correo enviado.
| Proveedor | Cómo se reconoce, selectores DKIM | Guía oficial |
|---|---|---|
| Google Workspace | MX smtp.google.com o aspmx.l.google.com, include:_spf.google.com. Selector google (clave de 2.048 bits recomendada). | Configurar DKIM en Google |
| Microsoft 365 | MX en .mail.protection.outlook.com, include:spf.protection.outlook.com. Selectores selector1 y selector2, en CNAME. | Configurar DKIM en Microsoft |
| OVHcloud | MX mx0 a mx4.mail.ovh.net, include:mx.ovh.com. Selectores ovhmo<id>-selector1 y 2, propios de la cuenta: no adivinables, activados automáticamente. | Configurar DKIM en OVHcloud |
| o2switch | MX en tu propio dominio, reconocido por include:spf.jabatus.fr. Selector default, clave de 2.048 bits generada por cPanel. | SPF, DKIM y DMARC en o2switch |
| IONOS | MX mx00 y mx01.ionos.com o .ionos.fr, include:_spf-eu.ionos.com. Selectores s1-ionos, s2-ionos, s42582890, automáticos con los servidores de nombres de IONOS. | Configurar DKIM en IONOS |
| Gandi | MX spool y fb.mail.gandi.net, include:_mailcust.gandi.net. Selectores gm1, gm2 y gm3, en CNAME. | Antisuplantación en Gandi |
| Infomaniak | MX mta-gw.infomaniak.ch, include:spf.infomaniak.ch. Selector no documentado, generado en el Manager (Seguridad global, DKIM). | Registros DKIM en Infomaniak |
| Proton Mail | MX mail y mailsec.protonmail.ch, include:_spf.protonmail.ch. Selectores protonmail, protonmail2 y protonmail3, en CNAME. | Antisuplantación en Proton |
| Zoho Mail | MX mx, mx2 y mx3.zoho.eu o .zoho.com, include:zoho.com o one.zoho.eu. Selector elegido por el administrador (zoho, zmail…). | Configurar DKIM en Zoho |
| Hostinger | MX mx1 y mx2.hostinger.com, include:_spf.mail.hostinger.com. Selectores hostingermail-a, -b y -c, en CNAME. | Configurar un dominio en Hostinger |
| LWS | include:_spf.lws.fr, MX en .lws.fr o .lwspanel.com (no documentado). Selector default, clave generada por cPanel. | SPF, DKIM y DMARC en LWS |
| Orange Pro | MX en .orange.fr o .orange-business.com (valores según la oferta, no publicados). Ningún selector documentado: pregunta al soporte. | Reglas postmaster de Orange |
| Brevo | include:spf.brevo.com o spf.sendinblue.com. Selectores brevo1 y brevo2 en CNAME, formato antiguo mail._domainkey en TXT. | Autenticar un dominio en Brevo |
| Mailjet | include:spf.mailjet.com. Selector mailjet, en TXT. | SPF y DKIM en Mailjet |
| Mailchimp | include:servers.mcsv.net. Selectores k2 y k3 en CNAME (k1 para el formato antiguo); Mandrill: mte1 y mte2. | Autenticar un dominio en Mailchimp |
| SendGrid | include:sendgrid.net. Selectores s1 y s2, en CNAME hacia sendgrid.net. | Autenticar un dominio en SendGrid |
| Amazon SES | include:amazonses.com (con un dominio MAIL FROM personalizado). Tres selectores generados al azar: no adivinables, léelos en la cabecera de un correo enviado. | Easy DKIM en Amazon SES |
MX smtp.google.com o aspmx.l.google.com, include:_spf.google.com. Selector google (clave de 2.048 bits recomendada).
Configurar DKIM en GoogleMX en .mail.protection.outlook.com, include:spf.protection.outlook.com. Selectores selector1 y selector2, en CNAME.
Configurar DKIM en MicrosoftMX mx0 a mx4.mail.ovh.net, include:mx.ovh.com. Selectores ovhmo<id>-selector1 y 2, propios de la cuenta: no adivinables, activados automáticamente.
Configurar DKIM en OVHcloudMX en tu propio dominio, reconocido por include:spf.jabatus.fr. Selector default, clave de 2.048 bits generada por cPanel.
SPF, DKIM y DMARC en o2switchMX mx00 y mx01.ionos.com o .ionos.fr, include:_spf-eu.ionos.com. Selectores s1-ionos, s2-ionos, s42582890, automáticos con los servidores de nombres de IONOS.
Configurar DKIM en IONOSMX spool y fb.mail.gandi.net, include:_mailcust.gandi.net. Selectores gm1, gm2 y gm3, en CNAME.
Antisuplantación en GandiMX mta-gw.infomaniak.ch, include:spf.infomaniak.ch. Selector no documentado, generado en el Manager (Seguridad global, DKIM).
Registros DKIM en InfomaniakMX mail y mailsec.protonmail.ch, include:_spf.protonmail.ch. Selectores protonmail, protonmail2 y protonmail3, en CNAME.
Antisuplantación en ProtonMX mx, mx2 y mx3.zoho.eu o .zoho.com, include:zoho.com o one.zoho.eu. Selector elegido por el administrador (zoho, zmail…).
Configurar DKIM en ZohoMX mx1 y mx2.hostinger.com, include:_spf.mail.hostinger.com. Selectores hostingermail-a, -b y -c, en CNAME.
Configurar un dominio en Hostingerinclude:_spf.lws.fr, MX en .lws.fr o .lwspanel.com (no documentado). Selector default, clave generada por cPanel.
SPF, DKIM y DMARC en LWSMX en .orange.fr o .orange-business.com (valores según la oferta, no publicados). Ningún selector documentado: pregunta al soporte.
Reglas postmaster de Orangeinclude:spf.brevo.com o spf.sendinblue.com. Selectores brevo1 y brevo2 en CNAME, formato antiguo mail._domainkey en TXT.
Autenticar un dominio en Brevoinclude:spf.mailjet.com. Selector mailjet, en TXT.
SPF y DKIM en Mailjetinclude:servers.mcsv.net. Selectores k2 y k3 en CNAME (k1 para el formato antiguo); Mandrill: mte1 y mte2.
Autenticar un dominio en Mailchimpinclude:sendgrid.net. Selectores s1 y s2, en CNAME hacia sendgrid.net.
Autenticar un dominio en SendGridinclude:amazonses.com (con un dominio MAIL FROM personalizado). Tres selectores generados al azar: no adivinables, léelos en la cabecera de un correo enviado.
Easy DKIM en Amazon SES¿Tu proveedor no está en la lista? La herramienta sondea igualmente una veintena de selectores habituales (default, google, selector1, mail, dkim, s1, k1…). Si no encuentra nada, busca «DKIM» en la ayuda de tu proveedor, o envíame su nombre con tu dominio: lo miro en 24 h.
En orden
El mismo recorrido en OVH, o2switch, IONOS, Gandi o Infomaniak: todo ocurre en la zona DNS del dominio y en el panel de cada servicio que envía en tu nombre. Cuenta una hora, y luego unas semanas de informes antes de endurecer DMARC.
Lista todo lo que envía en tu nombre: el buzón, el software de presupuestos y facturas, la newsletter, el formulario de la web. Un solo TXT en la raíz del dominio, v=spf1, el include de cada servicio, y luego ~all. Comprueba que el conjunto se quede por debajo de 10 consultas DNS, inclusiones contadas.
Cada servicio que envía debe firmar: activa DKIM en su panel (en Google Workspace, espera de 24 a 72 h tras activar Gmail para obtener la clave), y publica el TXT o el CNAME indicado bajo <selector>._domainkey.tudominio. Prefiere una clave de 2.048 bits, dividida en cadenas de 255 caracteres si tu editor de zona lo exige.
Google pide esperar 48 horas tras SPF y DKIM. Publica entonces bajo _dmarc.tudominio: v=DMARC1; p=none; rua=mailto:dmarc@tudominio, hacia un buzón dedicado (Microsoft aconseja un buzón compartido, no el tuyo). Esta política no detiene nada: te envía los informes.
Vuelve a lanzar esta herramienta, envía un correo a un buzón de Gmail y abre «Mostrar original»: SPF, DKIM y DMARC deben mostrar PASS. Lee los informes durante varias semanas (OVH lo aconseja), pasa a p=quarantine con pct=10 y luego 100, y por fin a p=reject cuando ningún envío legítimo falle.
Preguntas frecuentes
Sí. El umbral de 5.000 mensajes al día solo existe en Google y Microsoft, y solo afecta a sus buzones. Orange exige ahora SPF, DKIM y DMARC a todos los remitentes (reglas actualizadas el 1 de septiembre de 2026), laposte.net desde septiembre de 2025, iCloud sin umbral. E incluso en Gmail, un correo sin SPF ni DKIM puede ser rechazado con el error 5.7.26 desde el primer envío. Un autónomo que escribe a clientes en @orange.fr está afectado desde su primer presupuesto.
Para ser aceptado, a menudo sí: Gmail y Outlook.com aceptan p=none para los grandes remitentes, y Orange pide un DMARC sin precisar la política. Pero p=none no detiene nada: un correo suplantado pasa como los tuyos. Es el punto de partida, con una dirección rua= para recibir los informes. Tras unas semanas sin fallos en tus envíos legítimos, pasa a p=quarantine (primero pct=10), y luego a p=reject.
Porque el SPF solo ya no basta: Orange, laposte.net e iCloud quieren también DKIM y DMARC. Y el SPF puesto por el proveedor solo cubre su buzón: el software de presupuestos, la newsletter o el formulario de la web que envían en tu nombre no figuran en él, y sus correos fallan. Por último, la autenticación es solo una parte del filtrado: la reputación de la IP, el contenido y las quejas también cuentan.
No necesariamente. La herramienta sondea los selectores documentados por tu proveedor y una veintena de selectores habituales. OVH (ovhmo<id>-selector1), Amazon SES (selectores aleatorios) y Zoho (selector elegido por ti) no se adivinan. Para comprobarlo: envíate un correo, abre la cabecera completa, busca la línea DKIM-Signature; el valor s= es tu selector, y d= el dominio firmante. Si esa línea no existe, el servicio no ha activado DKIM.
Primero esta comprobación: un SPF roto, una clave DKIM revocada o un DMARC mal formado explican un cambio brusco. Luego envía un correo a un buzón de Gmail y abre «Mostrar original»: las líneas SPF, DKIM y DMARC dicen cuál falla. Si todo pasa, mira el contenido (enlace acortado, adjunto inusual, nuevo software de envío) y registra el dominio en Google Postmaster Tools para leer su reputación. Desde noviembre de 2025, Gmail rechaza de forma progresiva los mensajes no conformes.
mail-tester puntúa un envío concreto, desde la herramienta que usaste para escribirle. No dice nada de los demás servicios que envían en tu nombre, ni del historial de tu dominio en cada proveedor de correo, ni de la reacción de los destinatarios. Un 10/10 con tu buzón no garantiza el software de facturas. Esta herramienta, en cambio, lee la configuración del dominio para todos los servicios listados en tu SPF. Las dos se complementan.
El nombre bajo el que se publica la clave pública en tu DNS: <selector>._domainkey.tudominio. Permite que un dominio tenga varias claves, una por servicio de envío, y las rote. Google usa google, Microsoft selector1 y selector2, o2switch y LWS default, Gandi gm1 a gm3, Mailjet mailjet, Brevo brevo1 y brevo2. Cada correo firmado indica su selector en la cabecera DKIM-Signature (s=).
El diagnóstico es gratuito: esta herramienta, y luego mi lectura en 24 h si me envías tu dominio. La configuración se hace con presupuesto, según tu proveedor, el número de servicios que envían en tu nombre y el estado del SPF existente: en general unas horas de trabajo, y luego una o dos citas separadas por varias semanas para pasar DMARC a quarantine y luego a reject tras leer los informes.
Blog
La vulnerabilidad PHP de octubre de 2026, las comprobaciones de una web WordPress hackeada, y lo que cambia la factura electrónica para un autónomo en Francia: tres lecturas para las mismas pequeñas empresas.
Dos vulnerabilidades críticas en PHP fueron corregidas el 21 de octubre de 2026. Sitios web en WordPress, tiendas en PrestaShop o WooCommerce, software empresarial, intranets: ¿quién está afectado, qué hace tu proveedor de alojamiento y qué acciones tomar hoy.
Desde el 18 de octubre de 2026, claves robadas de UpdraftCentral se utilizan para instalar extensiones falsas y cuentas ocultas en sitios WordPress, incluso en aquellos que están actualizados. Las siete verificaciones que debes realizar hoy, en el orden en que las efectúo en un sitio de un cliente.
Desde septiembre de 2026, deberás poder recibir facturas electrónicas; en 2027, estarás obligado a emitirlas. ¿Qué cambia para un artesano y cómo prepararse?
Envíame tu nombre de dominio y tu proveedor. Pongo SPF, DKIM y DMARC en tu zona DNS, lo compruebo enviando correos de prueba y te escribo lo que se ha hecho. Diagnóstico gratuito en 24 h, presupuesto antes de cualquier intervención.