SPF, DKIM y DMARC para Google Workspace: paso a paso
Esta es la versión aplicada, hazlo-en-este-orden — si primero quieres entender qué hacen realmente SPF, DKIM y DMARC, lee esas guías. Esta cubre solo los registros y clics específicos de Google Workspace.
SPF para Google Workspace
Añade un único registro TXT en la raíz de tu dominio:
v=spf1 include:_spf.google.com ~all
Si también envías correo desde otros servicios (un CRM, un helpdesk, una herramienta de marketing), añade sus includes a este mismo registro — un dominio solo puede tener un registro SPF, así que un segundo no añade cobertura, solo rompe la validación.
DKIM para Google Workspace
- En el Admin Console, ve a Apps → Google Workspace → Gmail → Autenticar correo electrónico
- Genera un nuevo registro — elige una clave de 2048 bits si se ofrece; es la opción más fuerte y Google la admite
- Google te da un registro TXT: un nombre de host (el selector, algo como google._domainkey) y un valor largo
- Añade exactamente ese registro TXT a tu DNS
- Vuelve al Admin Console y haz clic en «Iniciar autenticación» — añadir el registro DNS por sí solo no activa la firma DKIM
DMARC para Google Workspace
DMARC no se configura en absoluto dentro de Google Workspace — es un simple registro TXT de DNS en _dmarc.tudominio.com. Empieza con p=none para monitorizar sin afectar la entrega, y consulta nuestra guía de DMARC para elegir direcciones rua y pasar a una política más estricta.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Verificar los tres
Una vez publicados los registros e iniciada la autenticación DKIM, una comprobación de seguridad de correo confirma que SPF, DKIM y DMARC resuelven y se alinean correctamente.
Errores que rompen esta configuración
- Un registro SPF sobrante de un proveedor de correo anterior, que crea dos registros TXT de SPF en vez de uno fusionado
- Añadir el registro TXT de DKIM pero nunca hacer clic en «Iniciar autenticación» en el Admin Console — Google no firmará el correo saliente hasta que lo hagas
- Comprobar el estado de DKIM justo después de añadir el registro, antes de que el DNS se propague — la propia verificación de Google puede fallar por motivos que no tienen nada que ver con un registro incorrecto
Verifica tu configuración
Ve la teoría en la práctica: ejecuta Comprobación de seguridad del correo para tu propio dominio.