SPF y DKIM en 2026: estadísticas de adopción real

Los registros SPF (Sender Policy Framework) y DKIM (DomainKeys Identified Mail) son la base de la autenticación de correo electrónico. Desde febrero de 2024, Gmail y Yahoo obligan a los remitentes en volumen a implementarlos. En 2026, la adopción sigue siendo desigual: mientras algunos sectores (SaaS, finanzas) alcanzan el 80%, otros (pequeño e-commerce, WordPress) aún no configuran correctamente. Este artículo recorre los datos reales que ves en el escaneo semanal del top-1M de dominios.

Adopción de SPF y DKIM: dónde estamos en julio de 2026

Según el escaneo semanal de Tranco top-1M dominios publicado en /email-stats/, la adopción de SPF y DKIM presenta dos caras:

• SPF: Presente en la mayoría de dominios corporativos (mayor del 70% en sectores regulados), pero con configuraciones débiles: registros muy permisivos, ausencia del cierre -all, o múltiples includes que complican la validación.
• DKIM: Menos automatizado que SPF (requiere manejo de claves públicas y privadas). Adopción variable según proveedor: servicios como Brevo y Mailjet rondan el 90%, mientras que plataformas locales como Mailrelay y Acumbamail promedian el 60%.

En España, proveedores como Mailrelay, Acumbamail y MDirector ofrecen paneles integrados para la autenticación, pero muchas PYMES siguen configurando manualmente o ni siquiera actualizan registros tras cambiar de proveedor. En LatAm, Doppler facilita el DKIM con asistentes gráficos, pero Shopify y PrestaShop (muy populares en Tiendanube y Nuvemshop) siguen siendo puntos débiles en la cadena de autenticación.

SPF y DKIM: qué hace cada uno y por qué ambos importan

SPF (Sender Policy Framework):

• Autentica la IP del servidor que envía el correo.
• Es lo primero que valida un servidor receptor: "¿está esta IP autorizada en el registro SPF del dominio remitente?".
• Fácil de configurar, pero frágil si usas múltiples proveedores (SMTP transaccional + marketing + terceros): cada include suma complejidad y riesgo de desbordamiento (máximo 10 DNS lookups).

DKIM (DomainKeys Identified Mail):

• Firma criptográfica del mensaje: el servidor remitente firma con su clave privada; el receptor verifica con la pública (publicada en DNS).
• Mucho más robusto que SPF (no se engaña con cambios de IP o spoofing parcial).
• Requiere rotación de claves y renovación de valores en DNS, por lo que es menos tolerante a errores de configuración.

Juntos ofrecen cobertura defensiva. Google y Yahoo desde febrero de 2024 exigen ambos; sin ellos, tu volumen en masa se queda en la carpeta spam o es rechazado directamente.

Diagnóstico: cómo verificar tu SPF y DKIM

Opción manual:

1. Abre la consola del navegador (F12) en tu cliente de correo web (Gmail, Outlook, etc.) e inspecciona los headers de un email recibido: busca Authentication-Results, DKIM-Signature, Received-SPF.
2. Consulta registros DNS desde la terminal:
   • dig tudominio.es TXT para SPF
   • dig selector._domainkey.tudominio.es CNAME para DKIM (o TXT si la clave está en TXT directo)

Opción automática (recomendada): usa check.live-direct-marketing.online. Envía un email de prueba a las direcciones seed que te proporciona; en el reporte ves SPF/DKIM/DMARC verificados, los veredicts de cada proveedor (Gmail, Outlook, Movistar, iCloud, etc.) y si tu mensaje se filtra a spam o llega a bandeja.

Errores frecuentes que los diagnósticos automáticos detectan:

• Sintaxis SPF errónea: falta -all, includes inválidos, orden incorrecto de directivas.
• Clave DKIM pública publicada en A-record en lugar de CNAME o TXT → falla silenciosa.
• Múltiples proveedores sin coordinación: cada uno intenta agregar su sender, y el registro SPF se vuelve inmanejable o se desborda el límite de lookups.

Lo que debes hacer en 2026

Paso 1: Verificar alineación SPF/DKIM con tu dominio.

Si usas Mailrelay, Acumbamail, Brevo o Mailjet (ESP españoles y europeos populares), la plataforma configura ambos automáticamente. Si usas WooCommerce, Contact Form 7, Elementor Forms o PrestaShop sin SMTP externo, cámbiate a un proveedor SMTP (Gmail SMTP, SendGrid, AWS SES) + plugin (WP Mail SMTP, Easy WP SMTP, etc.).

Paso 2: Configurar DMARC en p=none (como mínimo).

DMARC te dice qué hacer si SPF o DKIM fallan (rechazar, cuarentena o permitir). Google y Yahoo requieren al menos p=none para recopilar datos sobre tus emails. Ejemplo:

Paso 3: Cumplir con el requisito de one-click unsubscribe (RFC 8058).

El header List-Unsubscribe-Post es obligatorio para volumen grande. Todos los ESP españoles y europeos ya lo implementan automáticamente.

Paso 4: Vigilar spam rate < 0.3%.

Carga tus logs de bounce y complaint en Google Postmaster Tools, Yahoo abuse, u outlook.com postmaster. Si la tasa sube, investiga (lista sucia, dominio reputacional bajo, cambio de contenido). Si no actúas, te bloquean o te filtran automáticamente.

Mitos comunes que siguen en 2026

Mito 1: "SPF es suficiente, no necesito DKIM."

Falso. SPF se puede bypasear con cambios de DNS, spoofing parcial de IP o errores de alineación de dominio. DKIM es la firma criptográfica: mucho más robusta y difícil de falsificar.

Mito 2: "Mi ESP configura todo automáticamente."

A medias. El ESP configura sus DNS records si usas dominio compartido (ej: tuescrito@sends.mailrelay.com). Si usas tu propio dominio (lo recomendado para marca), tú creas los registros en tu registrador de dominios.

Mito 3: "DMARC con p=reject mata mi throughput."

Solo si tu SPF/DKIM están mal configurados. Con ambos correctamente alineados, p=reject filtra exactamente el spam falsificado, no tu email legítimo.

Mito 4: "Si cambio de ESP, no tengo que hacer nada."

Incorrecto. Cada ESP solicita registros DKIM nuevos (claves públicas diferentes). Si no actualizas los records en DNS después del cambio, DKIM fallará con el nuevo proveedor y tu email irá a spam.