VigíaMail

Guías

SPF, DKIM y DMARC en Google Workspace

Si tu correo de empresa es Gmail con tu dominio (Google Workspace), necesitas tres registros DNS para que llegue y nadie pueda suplantarte. Google no los publica en tu dominio: se añaden donde gestionas el DNS.

Revisada el 1 de noviembre de 2026 con la documentación oficial. Los paneles cambian a menudo: si algún nombre de menú no coincide, busca la opción equivalente.

Antes de empezar

1. SPF: autoriza a Google a enviar por ti

Si Google Workspace es lo único que envía correo con tu dominio:

Nombre@ (tu dominio)TipoTXTValorv=spf1 include:_spf.google.com ~all

Google recomienda terminar en ~all. Con DKIM y DMARC configurados, ~all y -all funcionan igual para DMARC. Si otros servicios envían por ti, añade su include: en el mismo registro, detrás del de Google:

Nombre@ (tu dominio)TipoTXTValorv=spf1 include:_spf.google.com include:servicio.ejemplo ~all
Un solo registro SPF por dominio y como mucho 10 consultas DNS en total (qué pasa si te pasas). Quita los include: de servicios que ya no uses.

2. DKIM: genera la clave y actívala

  1. En la consola de administración, ve a Menú → Apps → Google Workspace → Gmail y abre Autenticar correo electrónico (Authenticate email).
  2. Elige tu dominio en el desplegable y pulsa Generar registro nuevo.
  3. Deja la longitud en 2048 bits (si tu proveedor de DNS no la admite, usa 1024) y el prefijo del selector en google. Pulsa Generar.
  4. Copia el nombre y el valor del registro TXT que aparecen. Todavía no pulses «Iniciar la autenticación».
  5. En el panel de tu DNS, crea el registro:
Nombregoogle._domainkeyTipoTXTValorv=DKIM1; k=rsa; p=MIIBIjANBgkqh… (tu clave)
  1. Vuelve a Autenticar correo electrónico, elige tu dominio y pulsa Iniciar la autenticación. Arriba debe aparecer «Autenticando el correo electrónico con DKIM».
Una clave de 2048 bits ocupa más de 255 caracteres, el máximo de un fragmento de registro TXT. La mayoría de paneles lo dividen solos; si el tuyo da error al guardarla, consulta a tu proveedor o usa 1024 bits. Google avisa de que el cambio puede tardar hasta 48 horas en surtir efecto, y que la consola puede mostrar un aviso de «actualizar los registros DNS» durante ese tiempo aunque estén bien.

3. DMARC: empieza observando

Google aconseja esperar 48 horas desde que configuras SPF y DKIM. Después, publica DMARC en modo observación: no cambia la entrega de tu correo y hace que te lleguen informes diarios.

Nombre_dmarcTipoTXTValorv=DMARC1; p=none; rua=mailto:tu-direccion-de-informes

En rua= va la dirección que recibe los informes; si usas VigíaMail, tu panel te da el registro exacto. El ejemplo de la ayuda de Google lleva adkim=s; aspf=s (alineación estricta): no lo copies sin más, porque hace fallar el correo de subdominios y de servicios que firman con tu dominio principal. Sin esas etiquetas se usa la alineación relajada, que es la habitual.

Después hay que avanzar hacia p=quarantine y p=reject. El asistente de VigíaMail te dice cuándo es seguro dar cada paso. Si envías más de 5000 correos al día a cuentas de Gmail, Google exige SPF, DKIM y DMARC.

Cómo saber si funciona

Envía un correo a una cuenta de Gmail que no sea la tuya (a ti mismo no vale para comprobar DKIM), ábrelo y pulsa Más → Mostrar original. Debes ver SPF: PASS, DKIM: PASS con tu dominio y DMARC: PASS.

Comprueba el resultado

Cuando hayas publicado los registros, analiza tu dominio: te diremos si SPF, DKIM y DMARC están bien y, si algo falla, qué registro tocar.

Gratis y sin registro. Solo leemos registros DNS públicos; tarda unos segundos.

¿Quieres saber si todo tu correo pasa DMARC, no solo el registro? En tu panel de VigíaMail recibimos los informes DMARC de tu dominio, te enseñamos quién envía con él y te guiamos hasta p=reject.

Fuentes oficiales

Otras guías