Autenticación de correo: probar que el email es tuyo, y ponerle tu logo.
SPF, DKIM y DMARC son las firmas que le dicen a Gmail, Outlook y Yahoo que un correo salió de verdad de tu dominio y no de un impostor. Desde 2024 son obligatorias para enviar en volumen. Las dejamos puestas y alineadas, te llevamos con cuidado hasta bloquear a quien te suplanta, y preparamos tu marca para el logo verificado en la bandeja.
La autenticación de correo es el conjunto de firmas que prueban que un email salió de verdad de tu dominio: SPF, DKIM y DMARC, con BIMI para mostrar tu logo junto al remitente. Desde 2024 es obligatoria para enviar en volumen a Gmail, Yahoo y Outlook; sin ella, el correo se rechaza. La dejamos puesta y alineada, te llevamos de forma segura hasta bloquear a los impostores, y preparamos tu marca para el logo verificado. Es el cimiento del área de infraestructura de correo de Arco.
- SPF, DKIM y DMARC alineados son obligatorios desde 2024 para el envío en volumen a Gmail y Yahoo; Microsoft se sumó en 2025. Sin ellos, rechazo.
- DMARC recorre un camino: p=none (solo observa) → quarantine → reject (bloquea al impostor). Saltar directo a reject sin datos puede tumbar tu propio correo.
- "Tener DMARC" no basta: las firmas tienen que alinear con el dominio visible del remitente, el detalle que hunde a muchos.
- BIMI muestra tu logo en Gmail, Yahoo y Apple; exige DMARC en enforcement y un certificado. El VMC (con marca registrada) activa además el check azul de Gmail.
- Desde 2025 existe el CMC, una alternativa sin marca registrada: basta probar que tu logo lleva 12 meses público en tu dominio.
¿Qué es la autenticación y por qué es obligatoria en 2026?
Piensa en la autenticación como la identificación de tu correo. Sin ella, cuando un mensaje llega a Gmail firmado con tu dominio, el proveedor no tiene forma de saber si de verdad lo mandaste tú o un estafador que se hace pasar por tu marca. Las firmas de autenticación resuelven esa duda: le dan al receptor una manera criptográfica de comprobar quién envía, y de descartar a quien miente. Es, a la vez, tu escudo contra la suplantación y tu pasaporte para llegar a la bandeja.
Durante años fue una buena práctica recomendable. En febrero de 2024 dejó de ser opcional: Gmail y Yahoo la exigieron a todo remitente masivo, y en 2025 Microsoft aplicó reglas equivalentes a Outlook, Hotmail y Live. Hoy el correo que no autentica ya no cae en spam como antes; se rechaza de plano. La frase que resume la época es sencilla: si tu marca envía correo, estás en el negocio de la autenticación, quieras o no. La buena noticia es que, bien puesta, se convierte en una ventaja y no en una carga.
Conviene ubicar esto dentro del cambio más amplio de las reglas de envío. Los mismos proveedores que ahora exigen autenticar también pusieron otras condiciones al remitente masivo: una forma sencilla de darse de baja en un clic, tasas de queja por debajo de umbrales muy bajos, y un límite de referencia de unos cinco mil correos diarios a partir del cual te tratan como envío en volumen. La autenticación es la primera de esas casillas y la que abre o cierra la puerta: si no la cumples, las demás ni siquiera llegan a evaluarse, porque tu correo no entra.
¿Qué te expone no autenticar, o hacerlo a medias?
La autenticación es, antes que un asunto de entregabilidad, una defensa contra el fraude que se comete usando tu nombre.
Sin un DMARC que llegue a bloquear, cualquiera puede enviar correos que parecen tuyos. A tus clientes, pidiéndoles un pago a una cuenta falsa; a tus empleados, haciéndose pasar por un jefe para sacarles datos o dinero. Es el fraude conocido como suplantación de identidad, y el daño no lo paga el estafador: lo paga tu marca, porque el cliente que cayó rara vez distingue que ese correo no salió de verdad de ti.
Y está el otro lado de la misma moneda: el correo legítimo que no autentica se rechaza. Las facturas que no llegan, los recibos que se pierden, la campaña que rebota entera, y casi siempre te enteras tarde, cuando ya costó ventas y llamadas de clientes molestos. Autenticar bien cierra las dos puertas a la vez: la que usa el impostor para entrar y la que se te cierra a ti para salir. Hacerlo a medias deja alguna abierta, que es casi tan malo como no hacerlo.
SPF, DKIM y DMARC: qué hace cada una
Suenan a sopa de siglas, pero cada una cubre un hueco distinto, y las tres se necesitan.
SPF es la lista de servidores autorizados a enviar en nombre de tu dominio: el receptor compara de dónde llegó el correo con esa lista, y si el origen no está, sospecha. DKIM añade una firma criptográfica que prueba dos cosas: que el mensaje salió de tu dominio y que nadie lo alteró por el camino; el detalle clave es firmar con tu dominio en el campo d=, no con el del proveedor. Y DMARC es la política que ata las dos anteriores a tu dominio visible y le dice al receptor qué hacer si algo no cuadra —ignorarlo, mandarlo a cuarentena o rechazarlo—, además de enviarte reportes de quién está usando tu dominio.
; SPF — quién puede enviar por tu dominio example.com. TXT "v=spf1 include:_spf.tu-mta.com -all" ; DKIM — firma pública (selector s1), d= tu dominio s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..." ; DMARC — política + reportes + alineación estricta _dmarc.example.com. TXT "v=DMARC1; p=reject; rua=mailto:informes@example.com; adkim=s; aspf=s" ; BIMI — logo + certificado (requiere DMARC en enforcement) default._bimi.example.com. TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem"
¿Por qué "tener DMARC" no siempre basta?
Aquí está el tropiezo más frecuente, y el más difícil de ver. Se puede tener SPF y DKIM que pasan, un registro de DMARC publicado, y aun así fallar. El motivo es la alineación: no alcanza con que las firmas pasen, tienen que coincidir con el dominio que el destinatario ve en el remitente. Si tu correo se envía desde el dominio de un proveedor y firma con ese dominio en vez del tuyo, la autenticación pasa técnicamente, pero DMARC la da por fallida porque no alinea con tu marca.
Es la razón por la que tantas empresas creen estar protegidas y no lo están. "Tenemos DMARC" es la casilla que muchos marcan sin revisar si de verdad cada remitente alinea. Nuestro trabajo empieza justo ahí: inventariar todo lo que envía por tu dominio —la plataforma de campañas, el CRM, la facturación, esa herramienta de encuestas que alguien conectó hace un año— y dejar cada uno firmando y alineado con tu dominio, no con el del proveedor de turno.
Un ejemplo aclara el punto. Imagina que mandas tus boletines desde una plataforma popular y que, sin que nadie lo note, esa plataforma los firma con su propio dominio en vez del tuyo. Para el filtro del receptor, técnicamente todo pasa; para DMARC, ese correo no es tuyo, porque el dominio que firma no coincide con el que la gente ve en el remitente. El resultado es un mensaje que "pasa" y a la vez "falla", y que el día que subes tu política a reject empieza a rebotar sin explicación aparente. Detectar y cerrar esos huecos, uno por uno, es la mitad silenciosa del trabajo, y la que evita el susto de endurecer la política y descubrir que te bloqueaste a ti mismo.
El camino de DMARC: none, quarantine, reject
DMARC no se enciende de golpe en su modo más estricto. Es un recorrido de tres escalones, y apurarlo se paga con tu propio correo bloqueado.
Se arranca en p=none, que no bloquea nada: solo observa y te manda reportes de quién envía usando tu dominio. Con ese mapa a la vista, se corrige la alineación de cada remitente legítimo, uno por uno, hasta que no quede ninguno sin firmar. Recién entonces se pasa a p=quarantine, que manda a spam lo que no cuadra, y por último a p=reject, que lo bloquea de plano. Ese último escalón es el que de verdad cierra la puerta a los impostores, y el que exige BIMI para mostrar tu logo.
El error que vemos una y otra vez es saltar directo a reject sin haber leído los reportes. El resultado es predecible: un flujo legítimo que nadie recordaba —las facturas, los recibos de una tienda, los correos de un departamento— empieza a rebotar, y el problema aparece cuando ya hizo daño. Bien llevado, el recorrido completo toma del orden de seis a ocho semanas, y se hace con la calma de quien mira los datos antes de apretar el gatillo.
El límite de los diez lookups de SPF
Hay una trampa técnica que rompe la autenticación de muchos sin que se enteren. SPF no puede requerir más de diez consultas de DNS para resolverse; es un límite del estándar, no una recomendación. El problema es que cada servicio que envía por ti —tu plataforma de correo, tu CRM, tu facturación, tu proveedor de tickets— suele añadir su propio include, y esos includes anidan otros. Es fácil cruzar el límite de diez sin darse cuenta.
Cuando eso pasa, SPF devuelve un error de "permerror" y, para muchos receptores, deja de proteger: tu correo queda a medio autenticar. La solución se llama flattening, y consiste en comprimir todas esas consultas en un registro que resuelve dentro del límite y que se mantiene actualizado cuando tus proveedores cambian sus IP. Es el tipo de detalle invisible que decide si tu DMARC realmente se sostiene o se cae al primer proveedor que sumas.
Más allá de las tres firmas: ARC, MTA-STS y TLS-RPT
Cuando las tres firmas están en orden, hay una capa siguiente que separa a una operación cuidada del promedio. ARC resuelve un dolor de cabeza clásico: cuando alguien reenvía tu correo o pasa por una lista de distribución, SPF suele romperse y el DMARC falla aunque el mensaje sea legítimo; ARC preserva el resultado de la autenticación a través de esos intermediarios, para que el reenvío honesto no te cueste entregas.
MTA-STS y TLS-RPT trabajan del lado del cifrado. El primero exige que la conexión que entrega tu correo vaya cifrada y al servidor correcto, cerrando la puerta a ataques que degradan la seguridad en tránsito; el segundo te envía reportes cuando algún proveedor no logra establecer esa conexión segura. Son estándares que muy pocos dominios tienen bien puestos —y de los que sí, buena parte están mal configurados—, así que tenerlos en regla es una ventaja concreta frente a la mayoría.
BIMI: tu logo (y el check azul) en la bandeja
Es la capa que convierte la autenticación en algo que el equipo de marca también quiere: tu logo verificado junto al remitente, donde todos lo ven.
BIMI muestra el logo de tu marca al lado del correo en Gmail, Yahoo y Apple Mail, y su efecto está medido: estudios reportan más confianza del destinatario, mejores tasas de apertura y un salto notable en el recuerdo de marca. El precio de entrada es estricto: exige DMARC en enforcement —nada de p=none—, un logo en un formato específico (SVG Tiny PS, cuadrado y limpio) y, en la mayoría de proveedores, un certificado que pruebe que el logo es tuyo.
Ahí hay una decisión que conviene entender. El VMC exige una marca registrada y, a cambio, activa el check azul de Gmail junto a tu logo, la señal de confianza más fuerte hoy. Desde 2025 existe el CMC, pensado para quien no tiene marca registrada: basta demostrar que tu logo lleva al menos doce meses público en tu dominio; muestra el logo, aunque no el check azul. Preparamos el SVG con las medidas exactas que pide cada proveedor y te acompañamos en el trámite del certificado que encaje con tu caso. Y como el diseño de tu logo puede vivir en la misma casa —es una de nuestras áreas—, la pieza para BIMI la dejamos lista sin mandarte a buscar a nadie más.
¿Qué incluye dejar tu autenticación en regla?
Empezamos por un inventario honesto: descubrir todo lo que envía por tu dominio, que casi siempre es más de lo que la gente cree. Con ese mapa, dejamos SPF, DKIM y DMARC bien puestos y alineados, resolvemos el problema de los diez lookups si aparece, y publicamos DMARC en modo observación para empezar a leer los reportes sin arriesgar nada.
A partir de ahí, el trabajo es de paciencia y datos: corregir remitente por remitente, avanzar a cuarentena y luego a bloqueo cuando los números lo permiten, y sumar la segunda capa —ARC para el reenvío, MTA-STS y TLS-RPT para el cifrado— donde aporta. Si tu meta incluye el logo en la bandeja, preparamos BIMI con el certificado que corresponda. Y no lo dejamos ahí: revisamos los reportes de forma continua, porque cada herramienta nueva que conectas a tu correo es un remitente más que alinear.
Al final te queda algo tangible: un dominio que autentica y alinea en todos sus flujos, un DMARC que de verdad bloquea a quien intenta suplantarte, y un tablero de reportes que puedes mirar cuando quieras para ver quién envía a tu nombre. No es un proyecto que se cierra y se archiva; es un estado que se cuida, porque el día que tu equipo contrate una herramienta nueva de correo, hay que alinearla antes de que rompa la política. Ese acompañamiento continuo es la diferencia entre una autenticación que se mantiene sana y una que se degrada sola con cada cambio que nadie revisó.
¿Para quién es prioritario?
Para todo el que envíe correo en volumen, es obligatorio. Para algunos, además, es una defensa que no pueden darse el lujo de tener a medias.
Dudas habituales sobre autenticación de correo
¿Necesito las tres: SPF, DKIM y DMARC?
Sí, y cada una hace algo distinto. SPF dice qué servidores pueden enviar por tu dominio; DKIM firma el mensaje para probar que salió de ti y que nadie lo alteró; y DMARC ata esas dos a tu dominio visible y le dice al receptor qué hacer cuando algo no cuadra. Sin DMARC, nadie hace cumplir nada: SPF y DKIM pueden pasar y aun así un impostor cuela correo a tu nombre. Las tres juntas son el requisito mínimo desde 2024.
¿Puedo poner DMARC en 'reject' de una vez?
No es buena idea, y es el error más común. Antes de bloquear hay que ver quién envía legítimamente por tu dominio —tu plataforma de campañas, tu CRM, tu facturación—, porque saltar directo a reject sin ese mapa termina bloqueando tu propio correo. El camino sano es empezar en p=none para observar con los reportes, corregir la alineación de cada remitente, pasar a quarantine y solo entonces a reject. Suele tomar unas seis a ocho semanas hacerlo sin sustos.
¿Qué es el error de 'demasiados lookups' de SPF?
SPF tiene un límite estricto: no puede requerir más de diez consultas de DNS para resolverse. Cuando encadenas varios servicios que envían por ti —cada uno con su propio include—, es fácil pasarse de diez, y entonces SPF devuelve un error y deja de proteger. La solución es el flattening: comprimir esas consultas en un registro que se mantiene actualizado. Es un problema silencioso que rompe la autenticación de muchos sin que se den cuenta.
¿Necesito una marca registrada para mostrar mi logo?
Depende del certificado. El VMC exige una marca registrada y, a cambio, activa el codiciado check azul de Gmail junto a tu logo. Desde 2025 existe una alternativa, el CMC, que no pide marca registrada: basta probar que tu logo lleva al menos doce meses público en tu dominio. El CMC muestra el logo pero no el check azul. Nosotros preparamos el SVG en el formato exacto que piden y te acompañamos en el trámite del certificado que te convenga.
¿La autenticación me garantiza llegar a la bandeja?
No, y desconfía de quien lo prometa. La autenticación es la puerta de entrada: sin ella te rechazan, pero tenerla no asegura la bandeja. La entrega final sigue dependiendo de la reputación de tu IP y tu dominio, de la limpieza de tus listas y de un contenido que la gente quiera abrir. La autenticación es necesaria; no es suficiente por sí sola.
¿Y el correo reenviado que 'rompe' el DMARC?
Es un problema real: cuando alguien reenvía tu correo o pasa por una lista de distribución, SPF suele romperse y el DMARC puede fallar aunque el mensaje sea legítimo. Para eso existe ARC, un estándar que preserva el resultado de la autenticación a través de esos intermediarios. Lo tenemos en cuenta al diseñar tu configuración, para que el reenvío honesto no te cueste entregas.
¿Cada cuánto hay que mantener esto?
No es de poner y olvidar. Las llaves DKIM conviene rotarlas cada cierto tiempo, el certificado del logo (VMC) se renueva cada año, y los reportes de DMARC se revisan de forma continua, porque cada vez que sumas una herramienta que envía por ti —un nuevo CRM, una plataforma de encuestas— aparece un remitente que hay que alinear. Ese mantenimiento es parte del servicio gestionado.
Veamos cómo está hoy tu autenticación, sin rodeos.
Te decimos qué falta, qué está mal alineado y qué riesgo corres de que te suplanten o de que te rechacen el correo. Escríbenos a asesoramiento@arcopublicidadpma.com y hablas directo con quien va a configurarlo, no con un vendedor. Te devolvemos un diagnóstico claro y un plan por etapas, hasta el logo en la bandeja si lo quieres.