Generador SPF, DKIM y DMARC para Google, Microsoft 365 y cPanel

Generador SPF, DKIM y DMARC

Crea los registros DNS que necesita tu dominio para que el correo de Google Workspace, Microsoft 365 o tu hosting con cPanel llegue a la bandeja de entrada y no a spam. Incluye una guía paso a paso para obtener la firma DKIM, que cada servicio genera por su cuenta. Todo se calcula en tu navegador, no se envía nada a ningún servidor.

1. Tu dominio y tus servicios

Dominio ¿Desde dónde envías correo con este dominio?

Google Workspace (Gmail)

Microsoft 365 / Outlook

Hosting con cPanel

Otros servicios que envían correo (opcional)

Mailchimp, Brevo, tu CRM, etc. Separa con comas: dominios (se añaden como include:) o IP.

Qué hacer con el correo que no cumpla el SPF

2. Política DMARC

Política Correo para recibir informes

Puedes poner varios separados por coma.

Alineación DKIM

Alineación SPF

Subdominios

% de correos

Registros para tu DNS

Revisar o preparar una clave DKIM larga

Pega aquí el valor DKIM que te dio Google o cPanel. Se limpia (comillas, saltos de línea, espacios), se comprueba y, si pasa de 255 caracteres, se muestra también dividido en bloques para los paneles DNS que lo exigen.

Guía para obtener la firma DKIM

La clave DKIM no se inventa: la genera el servicio que envía el correo y tú solo la publicas en tu DNS. Elige tu caso.

Entra a admin.google.com con una cuenta de administrador.
Ve a Aplicaciones → Google Workspace → Gmail → Autenticar el correo electrónico.
Arriba elige tu dominio (si tienes varios).
Pulsa Generar nuevo registro. Deja la longitud en 2048 bits y el selector en google. Si tu proveedor DNS no admite 2048 bits, usa 1024.
Google muestra el nombre del host DNS (google._domainkey) y el valor del registro TXT (empieza por v=DKIM1; k=rsa; p=…). Cópialo entero.
Crea ese registro TXT en tu DNS (ver sección «Dónde se pegan los registros»).
Espera unos minutos (a veces hasta 48 h) y vuelve a esta pantalla de Google. Pulsa Iniciar autenticación. Debe decir «Autenticando correo».

Si da error «no se encontró el registro», casi siempre es que el DNS aún no se propagó o que el valor se copió cortado.

Entra al portal de Microsoft Defender: security.microsoft.com.
Ve a Correo electrónico y colaboración → Directivas y reglas → Directivas de amenazas → Autenticación de correo electrónico y abre la pestaña DKIM.
Haz clic en tu dominio. Si no aparece, verifica antes que el dominio esté añadido y verificado en el centro de administración.
Pulsa Crear claves DKIM. Microsoft muestra dos registros CNAME: selector1._domainkey y selector2._domainkey, cada uno con su destino.
Crea los dos CNAME en tu DNS. Copia los destinos exactamente como los muestra el portal: según la antigüedad del tenant tienen la forma ….onmicrosoft.com u otra de Microsoft. El generador de arriba muestra el formato clásico solo como referencia.
Espera a que se propague y activa el interruptor Firmar mensajes de este dominio con firmas DKIM.

Alternativa con PowerShell (Exchange Online):

New-DkimSigningConfig -DomainName tudominio.com -Enabled $true
Set-DkimSigningConfig -Identity tudominio.com -Enabled $true

Si activa con error «CNAME no existe», revisa que no hayas duplicado el dominio en el nombre (selector1._domainkey.tudominio.com.tudominio.com) y que, en Cloudflare, el CNAME esté en «Solo DNS» (nube gris).

Entra a tu cPanel y busca Entregabilidad de correo electrónico (Email Deliverability), en la sección Correo electrónico.
Verás tu dominio con el estado de DKIM y SPF.
Si el DNS de tu dominio está en el mismo hosting: pulsa Reparar (Repair) junto al problema y cPanel crea los registros solo. Con eso ya terminaste.
Si el DNS está en otro lugar (Cloudflare, el registrador, otro hosting): pulsa Administrar (Manage). cPanel muestra los registros sugeridos.
Para DKIM copia el nombre (normalmente default._domainkey.tudominio.com.) y el valor TXT (v=DKIM1; k=rsa; p=…). Para SPF, el valor del registro sugerido.
Créalos en tu proveedor de DNS y vuelve a cPanel: el estado debe pasar a «Válido».

Si no ves esa opción en un hosting compartido, pide a tu proveedor que active DKIM para tu cuenta. En clave larga, si el panel DNS la rechaza, usa la versión dividida en bloques de la herramienta de arriba.

Los registros se crean donde esté el DNS de tu dominio, que no siempre es donde lo compraste. Para saberlo, mira los servidores de nombres (NS) del dominio.

cPanel → Editor de zona DNS (Zone Editor): pulsa Administrar en tu dominio y luego Agregar registro. Aquí el nombre debe ir completo y con punto final, por ejemplo _dmarc.tudominio.com..
Cloudflare, GoDaddy, Namecheap y similares: el campo «Nombre» o «Host» suele ir solo con la parte relativa: _dmarc, google._domainkey o @. Si lo escribes completo, algunos paneles duplican el dominio.
Cloudflare: los CNAME de DKIM deben estar en «Solo DNS» (nube gris), no en «Con proxy».
Solo puede existir un registro SPF por dominio. Si ya tienes uno, edítalo y no añadas otro.
Los TXT se pegan sin comillas en casi todos los paneles. Si el panel las pide o parte el texto en bloques, usa la versión dividida de la herramienta DKIM.

Desde Windows (CMD) o cualquier terminal puedes consultar cada registro:

nslookup -type=txt tudominio.com
nslookup -type=txt google._domainkey.tudominio.com
nslookup -type=txt _dmarc.tudominio.com
nslookup -type=cname selector1._domainkey.tudominio.com

Envía un correo de prueba a una cuenta de Gmail, ábrelo, pulsa los tres puntos y elige Mostrar original. Arriba deben aparecer SPF: PASS, DKIM: PASS y DMARC: PASS.
Los cambios de DNS pueden tardar desde minutos hasta 48 horas.

Orden:

Publica el SPF.
Activa el DKIM en cada servicio que envíe correo.
Publica DMARC con p=none y un correo para informes.
Durante 2 a 4 semanas lee los informes y confirma que todos tus envíos legítimos pasan.
Sube a quarantine y, cuando todo esté limpio, a reject.

Errores frecuentes:

Dos registros SPF en el mismo dominio: el resultado es error permanente y ninguno funciona.
Más de 10 consultas DNS en el SPF (cada include, a y mx cuenta, y los include anidados suman).
Poner DMARC en reject sin haber verificado antes todos los servicios que envían (boletines, facturación, CRM).
Olvidar añadir a los servicios externos en el SPF y activar su propio DKIM.
Pegar la clave DKIM cortada por el panel o con saltos de línea.