Correo con sello: SPF, DKIM y DMARC

Resultado

Tu dominio de envío está en verde, tu DMARC observa, con sus informes a una dirección que sí recibe o con tu plan para tenerla, y un correo de prueba pasó SPF, DKIM y DMARC en Gmail.

Tiempo estimado

35 minutos

Costo

US$ 0 de configuración. El correo de prueba se cobra de la billetera como cualquier otro, igual que en la misión 5.

Analogía

Guía paso a paso

Las rutas van como aparecen con la interfaz en inglés. Si tu cuenta está en español, verás entre paréntesis el nombre que muestra HighLevel: en Configuración, Email Services sigue en inglés, y adentro el botón dice «Dominio e IP dedicados». Google Admin Toolbox, Gmail y tu proveedor de DNS van con sus rótulos en inglés.

1. 01

   Qué prueba cada parte del sello

   En la misión 5 pusiste el sello. Hoy compruebas qué prueba cada parte y si funciona del lado de quien recibe.

   SPF es la lista de carteros autorizados. Gmail revisa si el servidor que le entregó la carta está en la lista que publica el dominio del sobre.

   DKIM es el sello de lacre de cada carta. Tu dominio firma, y quien recibe comprueba con tu llave pública que lo firmado no cambió.

   DMARC es tu instrucción a la oficina de correos. Revisa que el remitente que ve tu clienta coincida con un dominio que pasó SPF o DKIM.

   DMARC también dice qué hacer con la carta que falla (p=none, quarantine o reject) y a quién mandarle el informe (rua).

   Claves

   • p=none solo observa y no pide nada. p=quarantine pide tratar lo que falla como sospechoso. p=reject dice que lo que falla no es tuyo.
   • DKIM puede firmar con un dominio distinto del remitente visible. Ese hueco es la razón de ser de DMARC.
   • Un PASS no dice que el correo sea bueno. Dice que nadie usó tu dominio sin permiso.
   • DMARC estrenó estándar: el RFC 9989, de mayo de 2026, reemplazó al RFC 7489. Lo básico sigue igual, pero pct quedó retirado, y lo verás en tutoriales viejos.
   • Lo que exige HighLevel: todos los registros de tu pantalla, verificados. Lo que recomienda AXIS: tu propio DMARC con rua y la prueba en Gmail.

   Fuente: F1, F2, F3, F4, F8, F22

   1 · Estudio Alba envíaDesde mg.estudioalba.mx

   2 · La bandeja de la clienta hace tres preguntas

   SPF¿El servidor que lo entregó está en la lista de mg?

   DKIM¿El sello de lacre está intacto y es de mg?

   DMARC¿El remitente visible coincide con un dominio que pasó? Relajado: mg.estudioalba.mx y estudioalba.mx son la misma familia

   3 · Qué hace con lo que fallap=none: entrega y anota

   4 · Informe diario al rua

   Basta un PASS alineado. Un PASS prueba el dominio, no la bandeja

2. 02

   Tu dominio de envío en verde, con tu remitente adentro

   Settings → Email Services → Dedicated Domain And IPCopiar ruta

   En tu cuenta en español: Configuración → Email Services → Dominio e IP dedicados

   Si en la misión 5 tomaste el camino 2, hoy creas tu dominio de envío con el dominio que compraste en la lección I.3.1. Haz los pasos 2 a 4 de la misión 5 con un subdominio mg. y vuelve aquí.

   Dentro de tu sub-cuenta, abre Settings → Email Services y elige el botón Dedicated Domain And IP. En la pestaña Dedicated Domain está la tarjeta de tu subdominio.

   En su menú ⋯, elige Verify domain. Cada registro de la lista debe quedar con su marca verde.

   Si alguno sigue con una ✗ roja, revisa dos cosas: que el nombre lleve solo el prefijo y, en Cloudflare, que el CNAME email.mg tenga la nube gris. Espera de 15 a 30 minutos y vuelve a verificar.

   En el mismo menú ⋯, abre Set Headers. Escribe el nombre de tu negocio y una dirección de tu subdominio, como hola@mg.estudioalba.mx, y guarda.

   Abre la pestaña Domain Configuration. Cada tipo de correo tiene su selector: Calendar Domain, Payments, One - One Conversation Domain, Bulk Email Domain, Campaign Domain y Workflow Domain.

   En cada selector que diga Please Select, elige tu subdominio de envío y guarda.

   Toma tu captura 1: tus registros en verde, con el nombre de tu sub-cuenta en el selector.

   Claves

   • Las guías de registros de HighLevel listan cinco para un subdominio de envío. En mg van un TXT de SPF y dos MX. El DKIM va en un TXT cuyo nombre termina en ._domainkey.mg, y el CNAME, en email.mg. Otra guía dice que la lista de Verify domain incluye DMARC. Si ves una fila de DMARC, debe ir en _dmarc.mg, el mismo registro del paso 3; nunca agregues uno en tu raíz.
   • Copia siempre de tu pantalla. El nombre y el valor del DKIM son únicos de tu dominio, y HighLevel no admite dos DKIM para el mismo dominio.
   • Al verificar, empieza el calentamiento: Stage 1, con un tope de 1.000 correos al día. Solo sube de etapa cuando envías el tope diario completo; que pasen los días no cuenta.
   • Una guía de HighLevel (junio de 2026) dice que calentar un dominio suele tomar unas 4 semanas. Las guías del modelo por etapas aclaran que solo sube cuando envías el tope diario completo. Si mandas 300 correos al día, te quedas en Stage 1, y está bien: el tope te queda de sobra.
   • Hoy, pasar el tope no bloquea el envío, pero HighLevel anunció que lo hará cumplir. No lo pases.
   • Set Headers manda sobre el remitente de tus campañas y flujos, pero no toca la dirección de respuesta. HighLevel pide que el remitente viva en tu dominio verificado: así el correo cumple DMARC.
   • Si al agregar un nombre ves el aviso «Domain already pointing to email server», ese nombre ya tiene correo. Solo limpias MX o SPF de un subdominio que no usas, nunca los de tu raíz.
   • La pestaña Risk Assessment revisa listas de contactos, no tu DNS. Ningún artículo de HighLevel describe un estado de DMARC en Email Services: tu DMARC lo lees con Dig.

   Fuente: F22, F23, F24, F26, F27, F28, F29, F31, F33, F36, F38

3. 03

   Completa tu DMARC: observar, con informes

   (your DNS provider) → DNS → TXT _dmarc.mgCopiar ruta

   En tu cuenta en español: (tu proveedor de DNS) → DNS → TXT _dmarc.mg

   Abre la zona DNS de tu dominio, donde apuntan tus nameservers (lección I.3.1). Busca el TXT _dmarc.mg que pusiste en la misión 5.

   Edítalo; no agregues otro. Si un nombre tiene dos registros DMARC, quien recibe descarta los dos.

   Deja este valor, con tu dominio: v=DMARC1; p=none; rua=mailto:dmarc@estudioalba.mx. Siempre empieza con v=DMARC1.

   El rua es la dirección que recibe los informes. Usa una de tu propio dominio que sí reciba correo, como un buzón de tu correo de negocio.

   Si no tienes buzón en tu dominio, tu DNS está en Cloudflare y tu raíz ya tiene un _dmarc, puedes probar su DMARC Management. Cloudflare suma a ese _dmarc una dirección rua suya. Puedes copiarla en tu _dmarc.mg, pero Cloudflare solo documenta el dominio raíz: quizá no llegue nada.

   No uses tu Gmail personal. Un rua fuera de tu dominio necesita un permiso que ese dominio publica, y gmail.com no lo publica para ti: la dirección se ignora. Si no tienes buzón en tu dominio ni DNS en Cloudflare, deja por ahora v=DMARC1; p=none; sin rua. Toma la captura 2 así y escribe en el campo qué buzón vas a crear y cuándo.

   En el nombre va solo el prefijo, _dmarc.mg. Si escribes _dmarc.mg.estudioalba.mx, el proveedor lo duplica.

   Si tu raíz ya tiene un _dmarc, no cambies su política: lo único que se le suma es el rua de Cloudflare, si eliges esa salida. Tu _dmarc.mg manda solo sobre mg.

   Guarda. En 15 a 30 minutos lo revisas desde afuera con Dig (paso 4).

   Claves

   • Sin rua, nadie te manda informes. El p=none de la misión 5 era válido, pero observaba a ciegas.
   • Los informes los mandan los proveedores que recibieron tu correo, por lo general uno al día. Llegan como un archivo XML comprimido, con conteos por servidor y resultados de SPF y DKIM, sin datos personales.
   • p=none no pide nada: solo observa. Aun con quarantine o reject, quien recibe toma la decisión final.
   • Para un rua fuera de tu dominio, quien recibe busca un permiso a nombre de mg.estudioalba.mx. Cloudflare documenta DMARC Management en todos sus planes, pero solo para el dominio raíz, y no dice que dé ese permiso para mg. Si a las 48 horas no ves nada, sigue «Si se rompe».
   • Al activarlo, Cloudflare le suma su rua a tu _dmarc raíz; su documentación no dice que cambie la política, pero revísala con Dig. Si tu raíz no tiene _dmarc, no aceptes crearlo: usa la salida sin rua. Si ese registro lo puso otra persona, pregúntale antes.
   • Quien recibe busca primero el _dmarc del dominio del remitente. Si no existe, sube a la raíz: aplica su sp= o, si no tiene, su p=.
   • Por eso tu _dmarc.mg importa: si la raíz tuviera p=reject sin sp=, un mg sin registro propio heredaría el rechazo.
   • Si un día pones tu remitente en la raíz, a ese correo lo gobierna el _dmarc de la raíz, no el de mg.

   Fuente: F3, F5, F6, F25, F35, F39

4. 04

   Lee tu zona desde afuera

   Google Admin Toolbox → DigCopiar ruta

   Abre Google Admin Toolbox y elige Dig. Lees lo que ve el resto de internet, sin entrar a tu proveedor.

   Consulta _dmarc.mg.estudioalba.mx, con tu dominio, con el tipo TXT. Si no ves los tipos, escribe txt: antes del nombre.

   Debe salir una sola línea que empiece con v=DMARC1, con p=none y tu rua, o sin rua si todavía no tienes dónde recibir informes. Esa es tu captura 2.

   Consulta el TXT de mg.estudioalba.mx. Debe haber un solo v=spf1: el de HighLevel.

   Consulta el TXT de estudioalba.mx y el de _dmarc.estudioalba.mx. Lo de tu raíz sigue igual: el SPF de tu correo de negocio, si existe, y su DMARC, si lo había.

   Si tu raíz recibe correo, revísala con Check MX: sus MX siguen en su lugar.

   Si una consulta sale vacía, prueba el nombre duplicado, como _dmarc.mg.estudioalba.mx.estudioalba.mx. Si aparece ahí, corrige el nombre en tu proveedor.

   Claves

   • Un nombre admite un solo SPF. Con dos v=spf1, la revisión da error y SPF falla en todo tu correo. Para sumar un remitente, se edita el que ya existe.
   • SPF tiene un límite de 10 consultas, y cada include cuenta. Si se pasa, también da error. El SPF de HighLevel vive en mg, así que no suma en el de tu raíz.
   • El SPF de HighLevel termina en ~all: lo que no está en la lista es «probablemente no autorizado». No lo cambies; cópialo como viene.
   • La llave pública del DKIM vive en el nombre que termina en ._domainkey.mg. Es el molde con que Gmail revisa tu sello de lacre.
   • Los cambios suelen verse en minutos. Preocúpate solo después de 24 horas, como pide HighLevel. Un cambio de nameservers puede tardar hasta 48 horas, y Google habla de hasta 72 para un MX nuevo.

   Fuente: F16, F17, F18, F1, F21, F23, F35, F40

5. 05

   Manda la prueba y lee el sello en Gmail

   Conversations → (test contact's conversation) → EmailCopiar ruta

   En tu cuenta en español: Conversaciones → (conversación del contacto de prueba) → Correo

   Usa a «Gabi Prueba» con tu código, el contacto de la misión 10, si su correo es de Gmail. Si no, crea otro contacto de prueba con una dirección de Gmail tuya.

   En su conversación, elige el canal de correo. Escribe de asunto «Sello» y tu código, por ejemplo «Sello AX-7K2Q», y envía.

   Antes de enviar, revisa el remitente: debe ser la dirección de tu subdominio, como hola@mg.estudioalba.mx. Si ves otra, cámbiala ahí.

   En Gmail, desde una computadora, abre el correo. Junto a Reply, abre el menú ⋮ (More) y elige Show original.

   Se abre una página nueva. Arriba, una tabla resume el mensaje: el asunto, el remitente y una línea para SPF, otra para DKIM y otra para DMARC.

   Busca PASS en las tres. La línea de DKIM nombra el dominio que firmó: debe ser tu subdominio de envío.

   Toma tu captura 3: esa tabla con tu código en el asunto y los tres PASS. Tapa tu dirección de destinatario.

   Si DMARC no dice PASS, o DKIM nombra otro dominio, ve a «Si se rompe».

   Claves

   • Para DMARC basta un PASS alineado: el de SPF o el de DKIM, con el mismo dominio de tu remitente.
   • La alineación viene en modo relajado: mg.estudioalba.mx y estudioalba.mx cuentan como la misma familia. Si fueran dominios distintos, DMARC fallaría.
   • SPF revisa el sobre: la dirección técnica de devolución, no el remitente que lee tu clienta. Por eso hace falta DMARC: compara con lo que ella ve.
   • Tres PASS prueban que nadie usó tu nombre sin permiso. No prueban que el correo sea bueno ni que llegue a la bandeja: eso depende del permiso, el contenido y tu reputación.
   • En Outlook, el resultado está en el encabezado Authentication-Results: busca spf=pass, dkim=pass y dmarc=pass. En Outlook de escritorio está en File → Properties → Internet headers.
   • Para leer un encabezado largo, pégalo en Messageheader de Google Admin Toolbox.

   Fuente: F14, F15, F3, F8, F13, F17, F26

6. 06

   Después de hoy: de observar a exigir, sin prisa

   Quédate en p=none al menos un mes y lee tus informes. En mg solo debería enviar HighLevel; si un día le pones DMARC a tu raíz, ahí verás también tu sitio, tus facturas y tu correo de negocio.

   Pasa a p=quarantine solo cuando todos tus remitentes legítimos pasen. Déjalo un periodo parecido y compara los informes.

   Solo después, p=reject. Si alguien de tu dominio escribe en listas de correo, el estándar pide no usar reject en ese dominio.

   No uses pct. El estándar nuevo de DMARC (RFC 9989, mayo de 2026) lo retiró. La ayuda de HighLevel todavía sugiere pct=25: sube por pasos completos.

   Gmail pide a todo remitente SPF o DKIM y una tasa de spam por debajo de 0,3 %. Su meta es menos de 0,1 %.

   Desde unos 5.000 correos al día a cuentas de Gmail, pide además SPF y DKIM, DMARC al menos en p=none, alineación y baja en un clic.

   Yahoo pide lo mismo y no da un número. Outlook.com lo exige desde mayo de 2025 a quien manda más de 5.000 al día; si no cumple, el correo va a Junk o se rechaza.

   Ningún registro salva un correo que nadie pidió. Escribe solo a quien aceptó, nunca a listas compradas. HighLevel avisa al 3 % de rebotes y suspende el envío al 5 %.

   Claves

   • El artículo de DMARC de HighLevel dice que Gmail y Yahoo exigen DKIM y DMARC a todos. Google pide SPF o DKIM a todos, y DMARC desde unos 5.000 al día. AXIS te pide DMARC igual.
   • Por qué igual: desde noviembre de 2025, Gmail rechaza más correo que no cumple, de forma temporal o definitiva. Y el conteo de 5.000 suma los subdominios de tu dominio principal.
   • Quien llega una vez a ese número queda como remitente masivo para siempre.
   • Las dos primeras suspensiones por rebotes duran 12 horas; la tercera es permanente y se resuelve con soporte. Desde el 13 de agosto de 2026, un bloqueo pide al menos 500 envíos y 25 rebotes. Las quejas por spam también pesan.
   • La baja en un clic es para correo de marketing, no para el transaccional. Gmail pide atenderla en 48 horas, y Yahoo, en 2 días.
   • La ayuda de HighLevel dice que agrega sola la baja en un clic en el encabezado de cada correo, salvo en los 1 a 1. Tu prueba de hoy sale de una conversación, que es 1 a 1: ahí no la verás.
   • Google Postmaster Tools tiene un panel de cumplimiento por dominio: Compliant, Needs work o No data found. Con poco volumen, No data found es normal.
   • El logotipo en la bandeja (BIMI) no es para ahora: pide DMARC en quarantine o reject y un certificado de pago, que en su versión VMC exige marca registrada.

   Fuente: F3, F25, F7, F8, F9, F10, F11, F12, F19, F20, F30, F32, F37

   Raíz · estudioalba.mx · no se tocan

   MX y SPF del correo del negocio

   _dmarc de la raíz

   Subdominio · mg.estudioalba.mx

   SPF y dos MX en mgDe HighLevel

   DKIM en …._domainkey.mgDe HighLevel

   CNAME en email.mgDe HighLevel

   Tu TXT en _dmarc.mgp=none y rua

   De observar a exigir

   1 · p=none con ruaAl menos un mes; lee informes

   2 · p=quarantineCuando todos tus remitentes legítimos pasan; periodo parecido

   3 · p=reject

   pct=25 · retirado en mayo de 2026

   (tu proveedor de DNS) → DNS → TXT _dmarc.mg

Interactivo

Tu correo con sello

Este interactivo se usa dentro de tu cuenta de AXIS.

Si se rompe

Los errores que más se repiten, y su salida.