¿Por qué auditar la entregabilidad de tu dominio?
Cada email enviado pasa por una serie de verificaciones DNS antes de llegar a la bandeja de entrada. Si un solo registro falta o está mal configurado, tus mensajes pueden acabar en spam - o ser rechazados silenciosamente por los servidores destinatarios.
Este test de entregabilidad email online (también llamado "verificador de dominio email", "test de configuración email" o "diagnóstico DMARC") te permite verificar la configuración email de tu dominio e identificar los errores a corregir para mejorar tu entregabilidad. La auditoría analiza 8 protocolos organizados en 3 pilares:
Envío (outbound):
| Protocolo | Función | Impacto si falta o es inválido |
|---|---|---|
| SPF | Autoriza servidores a enviar en nombre de tu dominio | Riesgo de rechazo o clasificación como spam |
| DKIM | Firma criptográficamente tus mensajes | Autenticación débil, riesgo de spoofing |
| DMARC | Define la política cuando SPF/DKIM falla | Sin protección contra suplantación de identidad |
| BIMI | Muestra tu logotipo en las bandejas de entrada | Opcional, refuerza la confianza visual |
Recepción (inbound):
| Protocolo | Función | Impacto si falta o es inválido |
|---|---|---|
| MX | Indica dónde recibir emails | Dominio considerado como no destinado a email |
| MTA-STS | Fuerza el cifrado TLS para emails entrantes | Emails transmitidos en texto plano, vulnerables a interceptación |
| DANE | Autentica los certificados TLS de los MX vía DNSSEC | Sin verificación criptográfica del servidor de correo |
| TLS-RPT | Recibe informes de fallos TLS | Sin visibilidad sobre problemas de cifrado |
Tres casos de uso principales:
- Antes de una campaña de email → Valida que tu dominio está listo para enviar
- Tras problemas de entregabilidad → Identifica qué configuración está fallando
- Después de un cambio de plataforma → Verifica que los nuevos selectores DKIM están publicados
Cómo usar la auditoría de entregabilidad en 3 pasos
Paso 1: Introduce tu dominio
Escribe tu dominio de envío (ejemplo.com). Si envías a través de varias plataformas (Mailchimp, Brevo, Google Workspace), añade los selectores DKIM correspondientes para una verificación completa.
Dónde encontrar tus selectores DKIM:
- Mailchimp:
k1(configuración → dominio → autenticación) - Brevo:
mail(configuración → remitentes → DKIM) - Google Workspace:
google(Consola de Admin → Apps → Gmail → Autenticación) - Microsoft 365:
selector1,selector2(Admin → Dominios → Registros DNS)
Paso 2: Ejecución del análisis
La herramienta consulta automáticamente tus registros DNS:
Envío:
- ✅ SPF: Sintaxis, límite de 10 lookups, mecanismo
-all - ✅ DKIM: Selectores válidos, clave ≥2048 bits
- ✅ DMARC: Política, informes configurados
- ✅ BIMI: Registro válido, logotipo accesible
Recepción:
- ✅ MX: Presencia, resolución, redundancia
- ✅ MTA-STS: Registro DNS, política HTTPS, modo enforce/testing
- ✅ DANE: Registros TLSA por MX, validación DNSSEC
- ✅ TLS-RPT: Registro válido, destinos de informes configurados
Paso 3: Lectura de los resultados
Obtienes:
- Puntuación global sobre 100 con insignia de entregabilidad (Excelente, Bueno, Regular, Insuficiente)
- Diagnósticos por protocolo con estado pass/fail
- Acciones correctivas clasificadas por prioridad
- Exportación JSON para compartir con tu equipo técnico
Cómo funciona la puntuación de entregabilidad?
La puntuación global sobre 100 se calcula a partir de 3 pilares ponderados:
| Pilar | Peso | Componentes |
|---|---|---|
| Envío (outbound) | 50% | SPF, DKIM, DMARC, BIMI |
| Recepción (inbound) | 35% | MX, MTA-STS, DANE, TLS-RPT |
| Seguridad DNS | 15% | DNSSEC |
Cada pilar se puntúa sobre 100 puntos, luego se pondera según su peso. El resultado da una puntuación global y un grado:
- Excelente (90-100%): Todos los protocolos están correctamente configurados
- Bueno (75-89%): Configuración sólida con algunas optimizaciones posibles
- Regular (55-74%): Errores o advertencias que impactan la entregabilidad
- Insuficiente (<55%): Bloqueos mayores, envío comprometido
Detalle de puntos por pilar
Envío (100 puntos):
| Componente | Puntos máx | Criterios principales |
|---|---|---|
| DMARC | 40 | Política p=reject, informes rua/ruf, alineación estricta |
| SPF | 30 | Sintaxis válida, límite 10 lookups, mecanismo -all |
| DKIM | 25 | Selectores válidos, clave ≥2048 bits, redundancia |
| BIMI | 5 | Registro válido, logotipo SVG Tiny PS, VMC presente |
Recepción (100 puntos):
| Componente | Puntos máx | Criterios principales |
|---|---|---|
| MX | 40 | Presencia, resolución, redundancia (2+ MX) |
| MTA-STS | 30 | DNS válido, política HTTPS, modo enforce |
| DANE | 15 | Registros TLSA publicados, DNSSEC firmado |
| TLS-RPT | 15 | Registro válido, destinos RUA configurados |
Seguridad DNS (100 puntos):
| Componente | Puntos máx | Criterios principales |
|---|---|---|
| DNSSEC | 100 | Zona firmada y cadena validada |
Errores frecuentes detectados por la auditoría
SPF: demasiadas consultas DNS (permerror)
El SPF está limitado a 10 lookups DNS. Más allá, los resolvers devuelven permerror e ignoran tu política. La auditoría cuenta tus lookups y señala los excesos.
Síntoma: Puntuación SPF baja a pesar de tener un registro
Diagnóstico:
- Número de lookups = 12 ❌
include:anidados detectados
Acción: Reemplaza los include: por rangos IP directos o usa nuestro SPF Flattener para aplanar automáticamente tu registro.
DKIM: selector no encontrado
Cada plataforma de envío usa un selector DKIM diferente. Si el selector no está publicado en tu DNS, la firma DKIM falla sistemáticamente.
Síntoma: DKIM falla aunque lo hayas configurado
Diagnóstico:
- Selector
k1._domainkey.tudominio.com= ❌ NXDOMAIN - Clave no encontrada
Acción: Obtén el selector correcto de tu ESP y publica el registro TXT correspondiente.
DMARC: política demasiado permisiva
Una política p=none no ofrece ninguna protección contra la suplantación de identidad. Los proveedores de email no bloquean los emails no autenticados.
Síntoma: DMARC presente pero sin protección activa
Diagnóstico:
- Política =
p=none⚠️ - Informes = no configurados
Acción: Pasa progresivamente a p=quarantine y luego a p=reject mientras monitorizas los informes DMARC (rua).
MX: registro ausente o inválido
Sin registro MX, tu dominio no puede recibir emails. Algunos filtros también consideran que un dominio sin MX no es legítimo para el envío.
Síntoma: Puntuación MX a 0
Diagnóstico:
- MX = ❌ Ningún registro encontrado
Acción: Publica al menos un MX válido, o un null MX (0 .) si el dominio no debe recibir emails.
¿Cómo mejorar la entregabilidad email de tu dominio?
Aquí están las acciones prioritarias para mejorar tu entregabilidad, clasificadas por impacto:
Envío:
| Prioridad | Acción | Impacto |
|---|---|---|
| 1. Crítica | Configurar SPF con -all y mantenerse bajo 10 lookups | Evita el rechazo del servidor |
| 2. Alta | Publicar DKIM con clave ≥2048 bits para cada ESP | Firma auténtica del email |
| 3. Alta | Pasar DMARC a p=quarantine y luego p=reject | Protección contra spoofing |
| 4. Media | Configurar informes DMARC (rua) con el Monitoring DMARC | Monitorización de fallos |
| 5. Opcional | Añadir BIMI con logotipo certificado | Mejora la confianza visual |
Recepción:
| Prioridad | Acción | Impacto |
|---|---|---|
| 1. Alta | Publicar al menos 2 MX para redundancia | Garantiza la recepción incluso si un servidor cae |
| 2. Media | Desplegar MTA-STS en modo enforce | Fuerza el cifrado TLS para emails entrantes |
| 3. Baja | Publicar un registro TLS-RPT | Recibir informes de fallos de conexión TLS |
| 4. Baja | Añadir registros DANE/TLSA (si DNSSEC está activo) | Autenticación criptográfica de certificados MX |
Consejo: Usa esta herramienta regularmente (antes de cada campaña, después de cambios de ESP) para detectar problemas antes de que impacten tus envíos.
Casos de uso concretos
Incidente 1: Campaña de marketing con 80% en spam
Síntoma: Envías una newsletter vía Mailchimp, pero la mayoría llega a spam.
Diagnóstico con la auditoría:
- MX = ✅ Pass
- SPF = ❌ Fail → 14 lookups (límite superado)
- DKIM = ❌ Fail → Selector
k1no encontrado - DMARC = ⚠️
p=none
Acciones prioritarias:
- Aplanar el SPF para estar bajo 10 lookups
- Publicar el CNAME DKIM de Mailchimp
- Pasar DMARC a
p=quarantine
Incidente 2: Emails B2B rechazados por Microsoft 365
Síntoma: Tus emails profesionales son rechazados por clientes que usan Outlook/Microsoft 365.
Diagnóstico con la auditoría:
- SPF = ✅ Pass
- DKIM = ✅ Pass
- DMARC = ❌ Fail → Política
p=rejectpero alineación fallida
Acciones prioritarias:
- Verificar que el dominio From coincide con el dominio DKIM (alineación estricta)
- Configurar
aspf=ryadkim=rpara una alineación relajada
Incidente 3: Migración a Google Workspace
Síntoma: Después de migrar a Google Workspace, los emails llegan a spam.
Diagnóstico con la auditoría:
- SPF = ⚠️ Warning →
include:_spf.google.comfaltante - DKIM = ❌ Fail → Selector
googleno publicado
Acciones prioritarias:
- Añadir
include:_spf.google.comal SPF - Generar y publicar la clave DKIM desde la Consola de Admin
FAQ - Preguntas frecuentes
P: ¿Qué verifica exactamente la auditoría de entregabilidad?
R: La auditoría analiza 8 protocolos organizados en 3 pilares:
Envío: SPF (servidores autorizados), DKIM (firma criptográfica), DMARC (política de autenticación), BIMI (logotipo de marca)
Recepción: MX (servidores de recepción), MTA-STS (cifrado TLS forzado), DANE (autenticación de certificados vía DNSSEC), TLS-RPT (informes de fallos TLS)
Seguridad DNS: DNSSEC (firma de la zona DNS)
P: ¿Cómo funciona la puntuación de entregabilidad?
R: La puntuación sobre 100 combina 3 pilares ponderados:
- Envío (50%): SPF (30 pts), DKIM (25 pts), DMARC (40 pts), BIMI (5 pts)
- Recepción (35%): MX (40 pts), MTA-STS (30 pts), DANE (15 pts), TLS-RPT (15 pts)
- Seguridad DNS (15%): DNSSEC (100 pts)
Cada pilar se puntúa sobre 100, luego se pondera. Una puntuación superior al 90% indica una configuración óptima.
P: ¿Por qué mi SPF muestra "demasiados lookups"?
R: El SPF está limitado a 10 resoluciones DNS (RFC 7208). Cada include:, a:, mx: o redirect= cuenta como un lookup. Si usas varios ESP (Mailchimp + Brevo + Google), puedes superar fácilmente este límite.
Solución: Usa nuestro SPF Flattener para resolver los includes en IPs directas.
P: ¿Cómo añado un selector DKIM?
R: Cada ESP usa un selector diferente:
- Mailchimp:
k1 - Brevo:
mail - Google Workspace:
google - Microsoft 365:
selector1,selector2
Añade el selector en el formulario de auditoría para verificar que está correctamente publicado.
P: ¿Qué política DMARC debo usar?
R: Progresión recomendada:
p=none: Monitorización sin acción (inicio)p=quarantine: Envío de emails sospechosos a spamp=reject: Rechazo de emails no autenticados (protección máxima)
Configura siempre los informes (rua) para seguir los fallos de autenticación.
P: ¿La auditoría es gratuita?
R: Sí, la auditoría de entregabilidad es 100% gratuita y sin registro. Introduce tu dominio y obtiene los resultados inmediatamente.
P: ¿Se almacenan mis datos?
R: La auditoría solo consulta los registros DNS públicos de tu dominio. Esta información es accesible para cualquiera a través de consultas DNS estándar. No almacenamos tus datos.
Herramientas complementarias
| Herramienta | Utilidad |
|---|---|
| Analizador de encabezados de email | Verificar los veredictos SPF/DKIM/DMARC en un email recibido |
| Inspector SPF | Analizar tu registro SPF en detalle |
| SPF Flattener | Aplanar tu SPF para cumplir el límite de 10 DNS lookups |
| Inspector DKIM | Validar tus claves DKIM selector por selector |
| Inspector DMARC | Desglosar y probar tu política DMARC |
| Verificador de propagación DNS | Confirmar que tus registros DNS están propagados globalmente |
| Verificador blacklist IP | Verificar si tu IP está en una lista negra |
| Verificador blacklist dominio | Verificar si tu dominio está en lista negra |
| Monitoring DMARC | Recopilar y visualizar los reportes DMARC agregados de tus dominios |
| Analizador de informes TLS-RPT | Analizar los informes TLS-RPT recibidos por email |
Recursos útiles
- RFC 7208 - SPF (especificación oficial SPF)
- RFC 6376 - DKIM (especificación oficial DKIM)
- RFC 7489 - DMARC (especificación oficial DMARC)
- RFC 8461 - MTA-STS (SMTP MTA Strict Transport Security)
- RFC 8460 - TLS-RPT (SMTP TLS Reporting)
- RFC 6698 - DANE (DNS-Based Authentication of Named Entities)
- Google - Autenticación de email (guía Gmail)
- Microsoft - Autenticación de email (guía Microsoft 365)