01
Conserva el subdominio que te interesa
Introduce un dominio, no una URL ni un buzón. SPF y _dmarc pueden ser distintos en el dominio raíz y en un subdominio; el formulario no cambia uno por otro. Ejemplo solo rellena el campo.
DNS de correo
Verificar SPF DKIM y DMARCcon registros MX
Escribe un dominio y, si lo conoces, un selector DKIM. La consulta solo empieza al pulsar Comprobar.
Verificar SPF DKIM y DMARC
Si lo dejas vacío, no se consulta DKIM. Busca s= en la cabecera de un mensaje firmado o en la configuración del proveedor.
Escribe un dominio o carga el ejemplo y comienza la comprobación.
Solo al pulsar Comprobar, el navegador envía el dominio y el nombre del selector opcional a Cloudflare Public DNS por HTTPS. No se envía correo.
Escribe un dominio o carga el ejemplo y comienza la comprobación.
Tras cambiar de proveedor de correo, la web puede seguir funcionando mientras MX y TXT aún apuntan al proveedor anterior. Para verificar SPF DKIM y DMARC, esta página consulta el nombre exacto que escribes, incluso si es un subdominio.
Al verificar SPF DKIM y DMARC aquí, una respuesta ausente no se confunde con un fallo del resolutor. El verificador DNS de email presenta registros MX, datos originales y tiempos; no convierte una lectura de DNS en una prueba de autenticación de correo real.
Por qué verificar SPF DKIM y DMARC aquí
Una consulta útil muestra también qué no se comprobó y qué falló.
DKIM sin selector queda sin comprobar
Para verificar SPF DKIM y DMARC se consultan MX, SPF y el nombre _dmarc indicado. Si el selector está vacío, DKIM aparece como “Sin comprobar”; probar unos nombres habituales no serviría para descartar otras claves.
Seguir las referencias SPF hasta un límite visible
Se exploran include y redirect durante cinco niveles y hasta doce nombres adicionales. Las ramas ausentes, lentas o cortadas quedan marcadas. El árbol no se presenta como aprobación SPF para un mensaje concreto.
Antes de editar, confirma el nombre DNS exacto
02
Añade el selector que firma el mensaje
La clave DKIM vive en selector._domainkey.dominio. Si no conoces s= en una cabecera firmada, déjalo vacío. Pulsa el botón o Ctrl/Cmd+Enter para hacer la consulta manual.
03
Distingue ausencia, fallo y caché
“Sin registro” no equivale a SERVFAIL ni a una conexión HTTPS bloqueada. La hora y el TTL orientan una repetición tras cambios; tocar la entrada impide copiar el resultado viejo.
Lo que revela la respuesta pública
Ruta MX junto a los TXT de autenticación
Los registros MX se ordenan por prioridad y se identifica el MX nulo. SPF, DMARC y el DKIM elegido conservan el nombre consultado y el valor original para compararlos con el panel del proveedor.
Dependencias SPF con presupuesto fijo
Se listan los mecanismos directos y luego los destinos include y redirect alcanzables sin repetir nombres. Doce nombres extra son un límite de solicitudes, no prueba del límite de diez evaluaciones de RFC 7208.
Estado y duración para cada registro
Encontrado, ausente, error y sin comprobar se presentan por separado, con tiempo y TTL cuando existen. Un error de DNS no se transforma en un registro vacío; al editar se bloquea la copia.
Lo que una lectura DNS no puede demostrar
- La consulta manual comparte el nombre
- Escribir o cargar Ejemplo no envía nada. Al iniciar, el navegador transmite dominio y nombre derivado del selector a Cloudflare Public DNS. Rigen su disponibilidad y privacidad; esta página no guarda historial.
- Un selector vacío no significa que falte DKIM
- DNS no ofrece un directorio universal de selectores. Al verificar SPF DKIM y DMARC, el selector DKIM vacío queda “Sin comprobar”; la ausencia en un nombre elegido no excluye claves en otros.
- Publicar registros no demuestra entrega
- No se conoce la IP emisora, una firma de mensaje, la alineación From ni la reputación. Un resultado verde del DNS no garantiza autenticación real ni llegada a la bandeja de entrada.
- DMARC y MX se interpretan con alcance limitado
- Solo se consulta _dmarc bajo el nombre escrito, sin recorrer todo el árbol de RFC 9989. Sin MX puede existir el recurso SMTP a A/AAAA; el MX nulo sí expresa que no se acepta correo.
- El árbol SPF no es una evaluación completa
- Los destinos fuera del presupuesto y las macros que requieren contexto del remitente no se consultan. Los mecanismos directos y un árbol truncado no prueban SPF pass ni el cumplimiento de diez consultas.
Preguntas al verificar SPF DKIM y DMARC
¿Por qué esta herramienta consulta internet?
Los registros publicados solo se pueden leer consultando DNS. Aquí la solicitud sale de tu navegador hacia Cloudflare Public DNS tras un clic; no se realiza mientras escribes ni se envía un mensaje.
¿Qué significa que mi SPF termine en ~all en vez de -all?
~all indica softfail y -all fail para remitentes no autorizados según la evaluación SPF. El valor publicado se muestra, pero esta página no tiene una IP emisora para ejecutar esa evaluación.
¿Por qué no encuentra mi registro DKIM si sé que existe?
Comprueba que el selector sea el s= de una firma real y que se consulte selector._domainkey.dominio. Una clave publicada con otro selector no saldrá en la respuesta de este nombre.
¿Es obligatorio tener DMARC si ya tengo SPF y DKIM?
SPF y DKIM no sustituyen la política ni la alineación DMARC. La herramienta muestra el TXT presente bajo _dmarc; no decide obligaciones de tu proveedor ni si una campaña fue autenticada.
¿Qué pasa si mi SPF supera las 10 consultas DNS permitidas?
Una evaluación real puede devolver permerror al superar ese límite. La vista de include está limitada por seguridad y no sigue todas las ramas de un remitente, por lo que no confirma el resultado real.
¿Puedo verificar la autenticación de subdominios?
Puedes consultar el nombre de un subdominio tal como lo introduces. No se recorre la herencia completa de DMARC ni se verifica una firma de correo; se muestran sus registros actuales.
¿Te queda alguna duda sobre DNS de correo?
Volver a verificar SPF DKIM y DMARC
Tras una migración, vuelve a verificar SPF DKIM y DMARC y compara el nombre, la hora y los valores originales con la configuración prevista.
El resolutor público recibe los nombres consultados; esto no mide la entrega.