Configurar SPF y DKIM en Plesk | Guía de Seguridad Email

¿Por qué es importante asegurar el correo en Plesk?

Cuando envías un correo desde tu dominio, el servidor receptor (Gmail, Outlook, etc.) realiza una serie de comprobaciones para decidir si tu mensaje es legítimo o si, por el contrario, se trata de spam o de un intento de suplantación de identidad (phishing). Sin una configuración adecuada, tus correos pueden acabar en la carpeta de spam o, peor aún, ser rechazados directamente.

La seguridad del correo electrónico no solo depende de una buena contraseña. Necesitas demostrar a los demás servidores que tú eres el dueño legítimo de ese dominio y que los mensajes que envías no han sido alterados en el camino. Para ello, existen dos tecnologías fundamentales: SPF y DKIM. En este artículo, te explicaré paso a paso cómo configurarlas en Plesk, el popular panel de control de hosting. Lo haremos de una forma sencilla, sin tecnicismos innecesarios, para que puedas proteger tu dominio y mejorar la entregabilidad de tus correos.

¿Qué es SPF y por qué lo necesitas?

SPF (Sender Policy Framework) es, en términos simples, una lista blanca. Publicas en tu dominio (a través de un registro DNS) qué servidores están autorizados para enviar correos en tu nombre. Si un servidor no está en esa lista, los servidores receptores desconfiarán del mensaje.

Piénsalo así: SPF es como una tarjeta de identificación. Tu servidor de correo la muestra al enviar un mensaje. Si la tarjeta es válida y coincide con el registro, el mensaje pasa. Si no, se rechaza o se marca como spam.

¿Cómo configurar SPF en Plesk?

El proceso es más sencillo de lo que parece. Plesk, en sus versiones recientes, automatiza gran parte del trabajo, pero es importante que verifiques que todo está correcto.

Accede a tu panel de Plesk: Inicia sesión con tu usuario administrador o con la cuenta que tenga acceso a la gestión del dominio.
Ve a la sección de DNS: Busca el dominio que quieres configurar. En el panel del dominio, encontrarás una opción llamada "DNS" o "Configuración de DNS". Haz clic en ella.
Busca el registro SPF existente: Plesk suele crear un registro SPF automáticamente. Normalmente verás una entrada de tipo TXT cuyo valor empieza por v=spf1. Si no existe, tendrás que crearlo.
Crea o edita el registro: Si tienes que crearlo, haz clic en "Añadir Registro" y selecciona tipo TXT. En el campo "Valor", introduce lo siguiente:
v=spf1 +a +mx +a:tu-dominio.com -all

[INFO] La parte +a y +mx autoriza a tu servidor web y a tu servidor de correo (MX) a enviar mensajes. El -all al final es una instrucción estricta que dice: "si el servidor no está en esta lista, rechaza el correo". Esta es la forma más segura.
Guarda los cambios: Plesk guardará el registro automáticamente. Ten en cuenta que los cambios de DNS pueden tardar entre 1 y 48 horas en propagarse por todo internet.

¿Qué pasa si uso un servicio externo como Gmail o un proveedor de email marketing?

Si envías correos a través de un servicio externo (por ejemplo, Mailchimp o SendGrid), debes añadir sus servidores a tu registro SPF. No lo reemplaces, solo añádelo. Un registro SPF solo puede tener una entrada v=spf1, así que tendrás que modificar la existente. Quedaría algo así:

v=spf1 +a +mx include:servicio-externo.com -all

[WARNING] Un error común es tener múltiples registros SPF en tu DNS. Esto invalida la configuración y puede causar que todos tus correos se marquen como spam. Asegúrate de tener solo UNO que comience con v=spf1.

¿Qué es DKIM y cómo funciona en Plesk?

Mientras que SPF verifica quién envía el correo, DKIM (DomainKeys Identified Mail) verifica que el mensaje no ha sido alterado durante el envío. Funciona mediante una firma digital criptográfica.

Imagina que DKIM es un sello de cera en una carta. Si alguien abre la carta y la vuelve a sellar, el sello se rompe y el receptor sabe que ha sido manipulada. DKIM añade una firma invisible al encabezado del correo. El servidor receptor la descifra usando una clave pública que está publicada en tu DNS. Si la firma coincide, el mensaje es auténtico.

Configuración de DKIM en Plesk

Plesk tiene una función integrada para gestionar DKIM, lo que facilita mucho el proceso.

Accede a la configuración del dominio: En el panel de Plesk, ve a la pestaña de "Correo" o "Configuración de correo".
Activa DKIM: Busca una opción que diga "Activar firmas DKIM" o similar. Actívala y Plesk generará automáticamente un par de claves (pública y privada).
Añade el registro DNS: Plesk te mostrará un aviso indicando que debes añadir un registro DNS. No te asustes, el propio panel te da el texto exacto. Ve a la sección DNS de tu dominio (como hicimos con SPF).
Crea el registro TXT: Plesk te dará un valor similar a este:
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQE...
Crea un nuevo registro de tipo TXT y pégalo exactamente como te lo da Plesk. El "host" o "nombre" suele ser algo como default._domainkey o selector._domainkey. Plesk te lo indica claramente.

[TIP] No copies la clave de este artículo. Cada dominio tiene una clave única. La tuya la genera Plesk automáticamente. Si la copias de otro sitio, no funcionará.

Guarda y verifica: Guarda el registro. Puedes comprobar si está bien configurado usando herramientas online gratuitas como "DKIM Checker" o "MXToolbox".

Paso a paso: Guía visual para tu panel de Plesk

Para que no te pierdas, aquí tienes un resumen de la secuencia exacta de clics en la interfaz moderna de Plesk (la que se usa por defecto en la mayoría de servidores).

1. Añadir el registro SPF

Ve a tu dominio.
Haz clic en "DNS" en el menú lateral izquierdo.
Haz clic en "Añadir registro".
En el tipo, selecciona TXT.
En el campo "Nombre del registro", deja el campo vacío o pon @ (dependiendo de la interfaz, esto representa el dominio raíz).
En "Valor", pega tu registro SPF.
Pulsa "Aceptar".

2. Añadir el registro DKIM

Ve a tu dominio.
Haz clic en "DNS".
Haz clic en "Añadir registro".
Selecciona tipo TXT.
En "Nombre del registro", pega el nombre que Plesk te ha dado (ej: default._domainkey).
En "Valor", pega la clave DKIM completa que generó Plesk.
Pulsa "Aceptar".

[INFO] En algunos servidores, Plesk tiene un botón mágico llamado "Activar el soporte de DNS para DKIM" en la propia sección de correo. Si lo ves, actívalo y omite el paso manual de crear el registro. Pero siempre es bueno verificarlo.

Verificación y resolución de problemas comunes

Has configurado todo, pero ¿cómo sabes si lo has hecho bien? Aquí tienes algunos métodos.

Comprobación rápida con una herramienta externa

La forma más fiable es usar una herramienta online. Te recomiendo visitar Mail-Tester.com. Esta web te da una dirección de correo temporal. Envía un email desde tu dominio a esa dirección y luego analiza el resultado. Te dirá exactamente si SPF y DKIM están pasando o fallando, y te dará consejos específicos.

Errores frecuentes y cómo solucionarlos

Error: "SPF Fail"
Esto significa que tu registro SPF no incluye el servidor que está enviando el correo. Si envías desde el webmail de Plesk, debería estar incluido con +a o +mx. Si usas un cliente externo (Outlook, Thunderbird) con tu cuenta de Plesk, el servidor SMTP de Plesk también debería estar cubierto por +a o +mx.

Solución: Revisa tu registro SPF. Si usas un servicio de terceros, asegúrate de añadir include:ese-servicio.com.

Error: "DKIM Fail"
Suele deberse a que el registro DNS no se ha propagado o a que la clave está mal copiada (a veces se copian espacios de más o de menos).

Solución: Espera unas horas. Si sigue fallando, borra el registro DKIM y vuelve a generarlo desde Plesk. Copia y pega con mucho cuidado, preferiblemente en un editor de texto plano (como el Bloc de notas) antes de llevarlo a Plesk.

Error: "No SPF record found"
No has creado el registro o lo has creado en el dominio equivocado (por ejemplo, en www en lugar de la raíz).

Solución: Asegúrate de que el registro SPF está en el dominio raíz (tudominio.com) y no en un subdominio.

Más allá de SPF y DKIM: Buenas prácticas adicionales

Configurar SPF y DKIM es el primer paso, pero no el único. Para una seguridad de correo completa en Plesk, considera estos consejos adicionales:

Activa DMARC: DMARC es la tercera pata del taburete. Te dice a ti, como administrador, qué hacer con los correos que fallan SPF y DKIM. Plesk no lo genera automáticamente, pero puedes crear un registro TXT fácilmente. Un registro DMARC básico es:
v=DMARC1; p=quarantine; rua=mailto:tu-correo@tudominio.com
Esto le dice al servidor receptor: "Si el correo no pasa las pruebas, ponlo en cuarentena (spam) y envíame un informe a mi correo".
Usa contraseñas robustas para los buzones: Una buena configuración DNS no sirve de nada si tu contraseña es "123456". Plesk te permite forzar la complejidad de las contraseñas desde Configuración del servidor > Seguridad.
Habilita la conexión segura (SSL/TLS): Asegúrate de que Plesk está configurado para usar conexiones cifradas para el envío y recepción de correo (puertos 465, 993, etc.). Esto evita que intercepten tus contraseñas.
Mantén Plesk actualizado: Las actualizaciones no solo añaden funciones, sino que corrigen vulnerabilidades de seguridad. Revisa el panel de actualizaciones periódicamente.

Preguntas frecuentes (FAQ)

¿Cuánto tiempo tarda en funcionar la configuración?
La propagación de DNS puede tardar desde unos minutos hasta 48 horas. En la mayoría de los casos, en 2 o 3 horas ya está activo.

¿Qué pasa si mi dominio está en Plesk pero el correo lo gestiona otro proveedor (como Google Workspace)?
Entonces no debes configurar SPF y DKIM en Plesk como te he indicado, sino que debes hacerlo en el panel de tu proveedor de correo. En Plesk, solo tendrías que añadir los registros DNS que te indique Google o el servicio que uses. El proceso de añadir el registro TXT en Plesk es el mismo, pero el valor del registro lo obtienes de tu proveedor, no de Plesk.

¿Es necesario configurar SPF y DKIM si solo uso el correo para uso personal con poco volumen?
Sí, absolutamente. Es la única forma de garantizar que tus correos no sean marcados como spam por Gmail o Outlook. Además, protege tu dominio para que no sea suplantado por terceros malintencionados.

¿Plesk me obliga a configurar esto manualmente?
No. Como he mencionado, Plesk genera automáticamente el registro DKIM al activar la opción. Para SPF, en la mayoría de plantillas de DNS de Plesk, ya viene un registro SPF predefinido. Solo tienes que verificar que es correcto y modificarlo si usas servicios externos.

Conclusión: La seguridad de tu correo está en tus manos

Configurar SPF y DKIM en Plesk no es un proceso complejo, pero sí es crucial para la salud de tu dominio y la entregabilidad de tus correos. Siguiendo estos pasos, te aseguras de que tus mensajes lleguen a la bandeja de entrada de tus contactos y de que tu dominio no sea utilizado para fines fraudulentos.

Recuerda que la seguridad es un proceso continuo. No te limites a configurarlo una vez y olvidarlo. Revisa periódicamente tus registros DNS y utiliza herramientas de verificación para asegurarte de que todo sigue en orden. Con un poco de mantenimiento, tu correo electrónico será una herramienta fiable y segura para tu negocio o proyecto personal.

[TIP] Si en algún momento te sientes perdido, no dudes en contactar con el soporte técnico de tu proveedor de hosting. Ellos pueden verificar la configuración de tu servidor Plesk y ayudarte a resolver cualquier problema. Recuerda que, en el mundo del hosting, existen paneles alternativos como Syspanel (cuyo puerto de acceso es el 2106), pero los principios de SPF y DKIM son exactamente los mismos, ya que se gestionan a nivel de DNS del dominio, no del panel en sí.