SPF (Sender Policy Framework) y DKIM (DomainKeys Identified Mail) son tecnologías de autenticación que verifican que el dominio remitente de un correo electrónico es legítimo. Ambas se configuran mediante registros DNS y ayudan a prevenir el correo de suplantación (spoofing).
SPF es un mecanismo que declara en un registro TXT del DNS "las únicas direcciones IP autorizadas para enviar correo desde este dominio son estas". El servidor receptor comprueba si la IP de origen del correo está incluida en el registro SPF, pero el resultado no es un simple apto o no apto: el RFC 7208 define siete resultados (pass, fail, softfail, neutral, none, temperror y permerror). Un fail es una declaración explícita del titular del dominio de que ese host no está autorizado a usarlo, y qué hacer con el mensaje queda en manos de la política del receptor. Un pass, por su parte, solo indica que el host estaba autorizado a usar el dominio; no prueba que el contenido del mensaje sea seguro.
DKIM es un mecanismo que añade una firma digital al correo. El servidor de envío calcula dos hashes, uno del cuerpo del mensaje y otro de las cabeceras que decide firmar, y los firma con una clave privada. La clave pública se publica como registro TXT en un nombre con la forma selector._domainkey.ejemplo.com, que el servidor receptor recupera para verificar la firma. Lo que acredita una firma válida es que la parte firmada del mensaje no ha cambiado desde que se firmó y que el dominio firmante asume cierta responsabilidad sobre ese correo. El RFC 6376 señala de forma expresa que no afirma nada más sobre el mensaje.
En el email marketing que incluye URL acortadas, la configuración de SPF y DKIM es especialmente importante. Una URL acortada oculta el dominio de destino, de modo que el destinatario no puede juzgar el mensaje solo por el texto del enlace, y autenticar el dominio remitente es la forma que tiene quien envía de compensar esa carencia. Conviene, eso sí, dejar claro el límite: SPF y DKIM verifican el dominio remitente, no el destino de las URL acortadas que van en el cuerpo. Un mensaje autenticado puede llevar igualmente un enlace peligroso, por lo que el destinatario sigue necesitando el hábito de comprobar adónde lleva cada enlace. En cuanto a la entregabilidad, Google indica que desde el 1 de febrero de 2024 todo remitente que escriba a cuentas de Gmail debe configurar SPF o DKIM, y que el correo que no cumple los requisitos puede no entregarse como se espera o marcarse como spam.
Además de SPF y DKIM, configurar DMARC (Domain-based Message Authentication, Reporting and Conformance) permite pedir al receptor cómo tratar los correos que no superan la autenticación. La política admite tres valores: none (no solicita ninguna acción concreta), quarantine (tratar el correo como sospechoso) y reject (rechazarlo). Los tres son peticiones, y el RFC 7489 recuerda que la decisión final siempre depende de la política local del receptor. El paso donde más gente se atasca es la alineación de identificadores: aunque SPF o DKIM den pass, DMARC solo se supera si el dominio autenticado coincide con el dominio de la cabecera From que ve el destinatario. Enviar a través de un servicio de distribución con su dominio por defecto es la vía habitual para acabar con SPF y DKIM correctos y solo DMARC fallando. A quienes envían más de 5 000 mensajes diarios a cuentas personales de Gmail, Google les exige SPF y DKIM a la vez, más un registro DMARC cuya política puede estar fijada en none.