ES
Área de cliente
Regístrate

Empieza

¿Qué te trae aquí?

Base de conocimientos · Guías de correo electrónico

SPF, DKIM y DMARC para Google Workspace + cPanel (guía completa)

Última actualización: 2025-10-31

SPF, DKIM y DMARC para Google Workspace + cPanel

Una guía práctica, lista para copiar y pegar, para configuraciones híbridas en las que los usuarios envían correo mediante Google Workspace y los sitios web o scripts envían mediante cPanel.

 
Contenido
1) Descripción general
2) SPF
3) DKIM (Google y cPanel)
4) DMARC
5) Fases de implementación recomendadas
6) Ejemplos listos para pegar
7) Validación y monitorización
8) Errores comunes y preguntas frecuentes
 

1) Descripción general

Qué hace cada registro

SPF Autoriza qué IP o servidores pueden enviar correo en nombre de su dominio.

DKIM Firma criptográfica que demuestra la integridad del mensaje y la identidad del dominio.

DMARC Capa de políticas e informes que vincula SPF y DKIM con el dominio visible De: del remitente.

 

Principio clave: la alineación

DMARC se supera si alguna de las siguientes condiciones se cumple: SPF o DKIM se supera como la el dominio autenticado está alineado con el dominio visible encabezado From del remitente.

 

Le recomendamos strict la alineación estricta para obtener la máxima protección.

 

Objetivo para un entorno híbrido (Workspace + cPanel): Autorice ambos sistemas en SPF, active DKIM en los dos y, a continuación, cambie DMARC del modo de supervisión al modo de aplicación.
 

2) SPF (Sender Policy Framework)

Qué debe publicar: un registro TXT de SPF en el root (host @).

 

Directiva Significado Por qué
include:_spf.google.com Autoriza los MTA de Google Workspace Obligatorio para el correo de los usuarios enviado a través de Gmail/Google
ip4:XX.XX.XX.XX Autoriza la dirección IPv4 de su cPanel Obligatorio para el correo enviado por PHP/Exim desde su servidor web
ip6:YYYY:...:ZZZZ (opcional) Autoriza la dirección IPv6 de su cPanel Agréguela si el correo puede originarse a través de IPv6
-all Rechazo estricto para cualquier otro remitente Evita la suplantación de identidad desde direcciones IP no autorizadas
 
Límite de consultas SPF: Dispone de un máximo de 10 consultas DNS. Evite acumular demasiadas include:s o proveedores anidados.
 
 

3) DKIM (DomainKeys Identified Mail)

Publique un registro TXT por cada sistema remitente. Cada uno utiliza un selector (la etiqueta anterior a ._domainkey).

 

DKIM de Google Workspace

  1. Consola de administración de Google → Aplicaciones → Google Workspace → Gmail → Autenticar correo electrónico (DKIM)
  2. Generar clave: selector google, 2048 bits
  3. Publicar TXT: google._domainkey.yourdomain.tld → v=DKIM1; k=rsa; p=…
  4. Haga clic en Iniciar autenticación después de que se propague el DNS

DKIM de cPanel

  1. cPanel → Entregabilidad del correo electrónico → Activar DKIM
  2. Crea default._domainkey.yourdomain.tld → v=DKIM1; k=rsa; p=…
  3. Asegúrese de que el dominio DKIM d= coincida con su dominio visible encabezado From para la alineación de DMARC
 
Por qué mantenemos los selectores separados: Google y cPanel gestionan sus propias claves y rotaciones. Los selectores independientes evitan colisiones y simplifican la resolución de problemas.
 
 
 

4) DMARC (política e informes)

Publique un registro TXT en _dmarc.yourdomain.tld.

 

Etiqueta Opciones Recomendación Por qué / Cuándo no se elige
p none / quarantine / reject Inicio: none → luego quarantine → reject Pasar directamente a reject puede bloquear correo legítimo durante la configuración
sp igual que p none inicialmente; más adelante reject Controla los subdominios; aplique la política estricta cuando tenga plena confianza
adkim r (relajado) / s (estricto) s (estricto) El modo relajado admite cierta variación en los subdominios; el estricto es más limpio y seguro
aspf r / s s La alineación estricta reduce la suplantación de identidad
rua mailto:… Activar Los informes agregados diarios en XML muestran todas las fuentes
ruf mailto:… Opcional Las muestras forenses pueden ser extensas; actívelas solo para depuración
fo 0, 1, d, s 1 Informar ante cualquier fallo de SPF/DKIM para obtener mayor visibilidad
pct 0–100 Normalmente se omite Utilícelo solo al aplicar la política de forma gradual

 

 

5) Fases de implementación recomendadas

  1. Fase 1 (Supervisión): p=none, recopile informes durante 2–3 semanas
  2. Fase 2 (Precaución): p=quarantine, considere sp=reject
  3. Fase 3 (Estricta): p=reject (y sp=reject) una vez que todas las fuentes legítimas estén alineadas
Condición de aprobación: Si SPF o o DKIM se supera como la se alinea con el dominio visible del remitente (From), DMARC se aprueba.
 
 

6) Ejemplos listos para copiar y pegar

6.1 SPF (añada las IP de su servidor web)


v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all

 

 

Si también envía correo mediante IPv6:


v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX ip6:YYYY:YYYY::ZZZZ -all

 

6.2 DKIM (Google Workspace)

Host Escriba Valor
google._domainkey.yourdomain.tld TXT v=DKIM1; k=rsa; p=<Google 2048-bit public key>

 

6.3 DKIM (cPanel)

Host Escriba Valor
default._domainkey.yourdomain.tld TXT v=DKIM1; k=rsa; p=<cPanel 2048-bit public key>

 

6.4 DMARC (por fases)

Fase 1 – Supervisión


v=DMARC1; p=none; sp=none; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; ruf=mailto:dmarc-failures@yourdomain.tld; fo=1;

 

Fase 2 – Cuarentena


v=DMARC1; p=quarantine; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;

 

Fase 3 – Rechazo


v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;

 

6.5 Guía rápida de la interfaz de DNS

Registro Host / Nombre Escriba Valor
SPF @ TXT v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all
DKIM (Google) google._domainkey TXT v=DKIM1; k=rsa; p=…
DKIM (cPanel) default._domainkey TXT v=DKIM1; k=rsa; p=…
DMARC _dmarc TXT v=DMARC1; p=none; …

 

6.6 Fragmentos de zona al estilo BIND (opcional)


@   3600 IN TXT "v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all"
google._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=<GooglePublicKey>"
default._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=<cPanelPublicKey>"
_dmarc 3600 IN TXT "v=DMARC1; p=none; sp=none; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;"

 

7) Validación y supervisión

Comprobaciones rápidas

  • SPF: MXToolbox SPF
  • DMARC: MXToolbox DMARC
  • Gmail: envíe un mensaje de prueba → menú del mensaje → Mostrar original → confirme SPF=PASS, DKIM=PASS, DMARC=PASS

 

Lea sus informes

Los informes agregados rua llegan a diario en formato XML. Analícelos con:

 

8) Errores comunes y preguntas frecuentes

No olvide incluir su servidor web en SPF. Si el correo de PHP/Exim no está autorizado, DMARC puede fallar aunque la configuración de Google sea perfecta.
Evite apresurarse a p=reject. Primero supervise y, después, aplique la política estricta cuando todas las fuentes legítimas estén alineadas.

¿Qué significa exactamente “alineación”?

Para SPF: el dominio del MAIL FROM / Return-Path debe coincidir (de forma estricta) con el dominio visible encabezado From Para DKIM: el dominio d= de la firma debe coincidir con el dominio visible encabezado From Recomendamos aspf=s como la adkim=s por claridad y seguridad.

 

¿Debo usar los informes ruf (forenses)?

Es opcional. Puede generar mucho ruido e incluir muestras de mensajes. Utilícelo cuando esté depurando fallos de forma activa y, después, elimínelo o manténgalo de forma limitada.

 

El reenvío rompe SPF—¿fallará DMARC?

El reenvío suele romper SPF, pero DKIM sigue siendo válido si las firmas se conservan, por lo que DMARC aún puede aprobarse. Por eso es fundamental habilitar DKIM en todos los servicios.

Soporte: Si es cliente de IndicHosts.net, abra un ticket y verificaremos sus informes de DNS, DKIM y DMARC, y le recomendaremos el nivel de aplicación adecuado para su dominio.

← Todos los artículos de base de conocimientos

Tell us what you need

Compare available plans or describe your workload so we can discuss a suitable starting point.

Talk to us