Comprobación de la configuración de correo

Funciones

• Las cuatro de una vez: MX, SPF, DMARC y DKIM bajo un selector que indiques
• Cuenta las consultas DNS que exige SPF (include / a / mx / ptr / exists / redirect) y avisa al acercarse al límite de 10
• Explica qué hace el terminador de SPF: `-all` rechaza, `~all` va a spam, `?all` no juzga, `+all` equivale a ninguna política
• Traduce las tres políticas DMARC a lo que hacen de verdad: `none` observa pero no bloquea, `quarantine` manda a spam, `reject` rechaza sin más
• Desglosa la política de subdominios, el porcentaje aplicado, las direcciones de informes agregados y de fallos, y la alineación DKIM/SPF
• Señala un `p=` ausente, que invalida todo el registro DMARC
• Cuando la clave DKIM está vacía, dice que es revocación deliberada (RFC 6376), no «sin configurar»
• Si faltan SPF o DMARC, expone la consecuencia sin rodeos (cualquiera puede falsificar correo del dominio)
• Permite cambiar de servicio DNS; si el principal no responde, pasa al alternativo

Cómo se usa

1. Escribe el dominio desde el que envías correo (normalmente el dominio desnudo)
2. Añade un selector DKIM si quieres comprobarlo; déjalo en blanco si no lo sabes
3. Pulsa Comprobar
4. Con la explicación, añade lo que falte en tu proveedor de DNS o registrador

Preguntas frecuentes

¿Por qué la fila de SPF dice «en este registro» en vez de un total?

Porque el límite de 10 consultas de SPF se comparte en toda la cadena: un dominio que incluyas con `include:` suma sus propias consultas, y así hacia dentro del anidamiento, todas dentro de las mismas diez. Contarlo bien exige resolver toda la cadena de forma recursiva, que es otro orden de herramienta. Así que aquí solo se cuentan los mecanismos de este registro y se dice: el número que ves es un límite inferior; el total real solo puede ser mayor.

Sé que hay un SPF configurado, pero la herramienta dice que no lo recibió. ¿Por qué?

Porque el conjunto de registros TXT del vértice puede ser grande y los resolutores devuelven solo una parte. No es una suposición: para el mismo `cloudflare.com`, Alibaba Cloud devolvió 0, 17 y 15 registros en consultas sucesivas y Tencent 3, 4 y 4, y los dos servicios no coincidían en el contenido. Por eso la herramienta consulta el TXT del vértice en ambos servicios y une los resultados, te dice sin rodeos cuándo no coinciden y, cuando no vuelve ningún SPF, solo dice «esta consulta no devolvió ninguno» en lugar de afirmar que el dominio no tiene SPF. Si estás seguro de que hay uno, cambia de servicio DNS o reinténtalo en un momento.

¿Qué pasa si SPF supera las 10 consultas?

Devuelve `permerror`. Lo que importa es cómo se comporta: entonces SPF ni pasa ni falla, no se evalúa en absoluto, así que cualquier servidor puede decir que envía correo por ti mientras tu registro SPF sigue pareciendo perfectamente normal. Por eso añadir «un include más» es arriesgado: puede desactivar la protección en silencio.

Configuré DMARC, ¿por qué sigo recibiendo correo falsificado de mi dominio?

Mira primero la fila de la política. Si es `p=none`, DMARC solo te envía informes y no bloquea nada; el bloqueo real necesita `p=quarantine` (spam) o `p=reject` (rechazo). Lo habitual es observar un tiempo con `p=none` para asegurarte de que no rompes nada legítimo y luego endurecerlo. Comprueba también que la dirección de informes agregados (`rua`) apunta a un buzón que de verdad lees; si no, no está haciendo nada por ti.

¿Qué es un selector DKIM y cuál debo poner?

Un selector es el nombre que elegiste al configurar DKIM; publica una clave pública bajo `<selector>._domainkey.<dominio>`. Un dominio puede tener varios a la vez (para rotar), así que hay que decir cuál. Los comunes son `google` (Google Workspace), `selector1` / `selector2` (Microsoft 365) y `s1` / `s2` (SendGrid). Lo verás en los ajustes de DNS o en la consola de tu proveedor de correo.

¿Qué significa una clave «revocada»?

Significa que el `p=` de ese registro está vacío. Según la RFC 6376 §3.6.1, un `p=` vacío es un valor deliberado y válido que quiere decir «esta clave se retira, deja de confiar en ella», que es lo que hacen los proveedores al rotar claves DKIM (Google las nombra por fecha y deja un registro vacío detrás). Así que no es un error de configuración y normalmente no requiere acción. Sí importa si ese selector es con el que firmas ahora.