SPF, DKIM y DMARC: qué revisar al cambiar de hosting o correo
Recibir correo no demuestra que tus envíos estén autenticados. Revisa los proveedores de salida, las firmas y la alineación del dominio antes de retirar registros antiguos.
Al cambiar el hosting o el proveedor de correo, no basta con conservar los registros MX. Los MX orientan la recepción; SPF, DKIM y DMARC ayudan a autenticar los mensajes que envías con tu dominio. Puedes recibir correos con normalidad y, aun así, tener problemas con los formularios, las facturas o las confirmaciones de pedidos.
El primer paso no es copiar una cadena de DNS de otra empresa: es identificar todos los sistemas que envían en tu nombre y comprobar cuáles cambian durante la migración.
Inventariar emisores, no solo buzones
Incluye las cuentas de las personas, la web, la tienda, el CRM y cualquier servicio de notificaciones. Anota qué plataforma entrega cada mensaje y qué dominio aparece como remitente. Una aplicación puede usar un proveedor distinto al del buzón que recibe las respuestas.
Si solo cambias la web, quizá el correo empresarial permanezca igual, pero el formulario empiece a salir desde otra infraestructura. Si cambias los servidores DNS, debes trasladar también los registros que siguen siendo necesarios. La guía para cambiar hosting manteniendo el correo explica esa separación.
SPF: autorizar el origen de envío correcto
SPF comprueba si una dirección IP está autorizada para enviar utilizando el dominio evaluado en el sobre del mensaje. No certifica por sí solo todos los campos visibles ni el contenido del correo.
En el mismo nombre DNS no publiques varios registros SPF independientes para sumar proveedores. Consolida los emisores legítimos en una política válida y revisa los límites de consultas DNS del mecanismo. Conserva temporalmente un emisor antiguo solo si todavía debe utilizarse; retirarlo antes o dejarlo autorizado indefinidamente son decisiones distintas.
DKIM: confirmar quién firma y dónde publica su clave
DKIM permite verificar una firma asociada al dominio que firma el mensaje. El proveedor suele facilitar un selector y registros para publicar su clave. Cambiar el servicio de salida puede exigir nuevos registros aunque el dominio del remitente no cambie.
Publicar la clave no demuestra que el proveedor esté firmando los mensajes. Envía una prueba desde cada sistema y revisa su resultado. No elimines selectores anteriores sin comprobar si quedan envíos legítimos dependientes de ellos.
DMARC: revisar alineación antes de endurecer la política
DMARC relaciona el dominio visible del remitente con una autenticación SPF o DKIM válida y alineada. Por eso un resultado SPF satisfactorio para el dominio de un tercero no implica automáticamente que DMARC pase para tu dominio.
Revisa la política existente, los resultados y los emisores antes de endurecerla. Si ya tienes una política restrictiva, conserva su intención y corrige los flujos legítimos que fallen; no la rebajes por defecto para ocultar una mala configuración. Los informes pueden ayudar a identificar fuentes, pero requieren interpretación y un destino adecuado.
Hacer pruebas desde la web y desde el buzón
Prueba los correos personales, el formulario y las notificaciones transaccionales por separado. Revisa cabeceras de autenticación, remitente, respuesta y posibles rebotes. No expongas mensajes completos con datos personales en herramientas públicas de diagnóstico.
Las directrices de Gmail distinguen requisitos según el tipo de remitente. Pasar SPF, DKIM y DMARC no garantiza llegar a la bandeja principal: también intervienen reputación y otras políticas del receptor.
Cerrar la migración con evidencia
Registra la zona DNS final, proveedores autorizados, selectores activos y pruebas por sistema. Comprueba que editaste la zona autoritativa correcta y respeta la vigencia de los registros en caché antes de atribuir cualquier diferencia a una avería.
Si el correo falla después del cambio, consulta el diagnóstico de correo tras modificar DNS. Podemos coordinar DNS y dominios con la migración de correo empresarial, separando la copia de buzones de la autenticación de los envíos.