Configurar SPF, DKIM y DMARC en Plesk para evitar spam

¿Por qué es importante asegurar tu correo en Plesk?

Si tienes un sitio web o una empresa, el correo electrónico es una de las herramientas más críticas que utilizas a diario. Sin embargo, también es uno de los vectores de ataque más comunes. Los ciberdelincuentes constantemente buscan enviar correos falsos en tu nombre, suplantando tu identidad para estafar a tus clientes o empleados.

La buena noticia es que puedes blindar tu correo electrónico con tres protocolos de autenticación: SPF, DKIM y DMARC. Configurarlos en Plesk no es complicado, y en esta guía te explicaré paso a paso cómo hacerlo, incluso si no tienes experiencia técnica avanzada.

Al final de este artículo, tendrás tu correo configurado de forma segura, mejorarás la entregabilidad de tus mensajes (que no caigan en spam) y protegerás tu reputación como remitente.

¿Qué son SPF, DKIM y DMARC?

Antes de entrar en materia, es fundamental que entiendas qué hace cada uno de estos registros DNS. Son como un sistema de identificación para tus correos electrónicos.

SPF (Sender Policy Framework)

El SPF es básicamente una lista blanca. Publicas en tu DNS qué servidores están autorizados para enviar correos desde tu dominio. Si un servidor no está en la lista, los servidores de destino pueden marcarlo como sospechoso o rechazarlo.

Piénsalo así: es como decirle al cartero "solo las personas de esta dirección pueden enviar cartas con mi nombre".

DKIM (DomainKeys Identified Mail)

El DKIM añade una firma digital criptográfica a cada correo que envías. Esta firma se guarda en el encabezado del mensaje y se verifica con una clave pública publicada en tu DNS. Si el mensaje se altera en el camino, la firma se rompe y el correo se rechaza.

Es como un sello de cera en una carta: garantiza que la carta no fue abierta y que proviene del remitente legítimo.

DMARC (Domain-based Message Authentication, Reporting & Conformance)

El DMARC es el policía que hace cumplir las reglas de SPF y DKIM. Define qué hacer si un correo falla las verificaciones (ponerlo en spam, rechazarlo o entregarlo de todas formas) y te envía informes sobre quién está intentando usar tu dominio sin permiso.

Requisitos previos

Para configurar el correo seguro en Plesk, necesitas:

Acceso al panel de control de Plesk (generalmente en https://tu-dominio:8443 o la URL que te haya dado tu proveedor).
Acceso al administrador de DNS de tu dominio (a menudo, Plesk puede gestionar el DNS automáticamente si es tu proveedor de hosting).
Un dominio propio (por ejemplo, tudominio.com) y una cuenta de correo creada en Plesk.

Paso 1: Accede al administrador de DNS en Plesk

El primer paso es localizar la sección de DNS. En Plesk, esto suele estar en "Sitios web y dominios" y luego en "Configuración de DNS".

Inicia sesión en Plesk.
En el menú lateral izquierdo, haz clic en "Sitios web y dominios".
Busca tu dominio y haz clic en "Configuración de DNS" (o "DNS" directamente).

Verás una tabla con varios registros (A, MX, CNAME, etc.). No te asustes; solo añadiremos algunos nuevos y modificaremos o crearemos otros.

Paso 2: Configurar SPF en Plesk

El registro SPF es un registro TXT en tu DNS. Plesk a menudo crea uno por defecto, pero es posible que necesites ajustarlo.

¿Cómo saber si ya existe un SPF?

En la lista de registros DNS, busca un registro de tipo TXT que comience con v=spf1. Si existe, puedes editarlo. Si no existe, lo crearemos.

Crear o editar el registro SPF

Haz clic en "Añadir registro" (o "Agregar registro DNS").
Selecciona el tipo TXT.
En el campo "Valor", introduce la siguiente línea (ajústala según tu configuración):

v=spf1 +a +mx +ip4:TU_IP_DE_ENVIO ~all

+a: autoriza los servidores que tienen un registro A para tu dominio.
+mx: autoriza los servidores de correo (MX) de tu dominio.
+ip4:TU_IP_DE_ENVIO: reemplaza esto por la IP del servidor de correo de tu hosting (puedes obtenerla en tu proveedor o en Plesk).
~all: significa que los servidores no listados no están autorizados, pero no rechaces el correo (soft fail). Si quieres ser más estricto, usa -all (hard fail).

Guarda el registro.

[WARNING] Asegúrate de no tener más de un registro SPF en tu dominio. Si hay varios, los servidores de destino los ignorarán y la protección no funcionará. Si Plesk ya tenía uno, edítalo en lugar de crear uno nuevo.

Paso 3: Configurar DKIM en Plesk

Plesk tiene una función integrada para gestionar DKIM, lo que facilita mucho el proceso.

Activar DKIM en la cuenta de correo

Ve a "Herramientas y ajustes" en el menú principal de Plesk.
Busca la sección "Correo" y haz clic en "Configuración de correo" (o "Mail Settings").
Marca la casilla "Activar firmado DKIM para los mensajes de correo salientes" (o similar, depende de la versión de Plesk).
Guarda los cambios.

Publicar la clave pública DKIM

Al activar DKIM, Plesk genera automáticamente un par de claves (pública y privada). La clave pública se debe publicar en tu DNS.

En Plesk, ve a "Sitios web y dominios" y haz clic en tu dominio.
Busca la sección "Correo" y haz clic en "DKIM".
Verás un registro DNS que necesitas copiar. Por lo general, es algo como:

default._domainkey  TXT  "v=DKIM1; k=rsa; p=TU_CLAVE_PUBLICA_LARGA"

Ve a "Configuración de DNS" y añade este registro TXT exactamente como te lo muestra Plesk.

[TIP] Si tu DNS está gestionado por Plesk, a veces el registro DKIM se añade automáticamente. Verifica que esté en la lista de registros. Si no, créalo manualmente copiando el valor que te da Plesk.

Paso 4: Configurar DMARC en Plesk

El registro DMARC también es un registro TXT, pero con una estructura específica.

Crear el registro DMARC

Ve a "Configuración de DNS" en Plesk.
Haz clic en "Añadir registro".
Selecciona el tipo TXT.
En el campo "Nombre" (o "Host"), introduce:

_dmarc

En el campo "Valor", introduce la siguiente política (puedes ajustarla):

v=DMARC1; p=none; rua=mailto:reportes@tudominio.com; pct=100

v=DMARC1: versión del protocolo.
p=none: política de cuarentena. Es la más segura para empezar, ya que no afecta la entrega de correos legítimos. Luego puedes cambiarla a quarantine (poner en spam) o reject (rechazar) cuando estés seguro de que todo funciona.
rua=mailto:reportes@tudominio.com: dirección donde quieres recibir los informes agregados de DMARC.
pct=100: porcentaje de correos a los que se aplica la política (100% es recomendable).

Guarda el registro.

[INFO] Te recomiendo empezar con p=none durante al menos una semana. Revisa los informes para ver si hay correos legítimos que fallan las verificaciones. Si todo está bien, cambia a p=quarantine y, más adelante, a p=reject para máxima protección.

Paso 5: Verifica que todo esté correcto

Una vez que hayas añadido los tres registros, es hora de comprobar que todo funciona.

Herramientas de verificación externas

Puedes usar herramientas gratuitas como:

MXToolbox: tiene un verificador de SPF, DKIM y DMARC.
Google Admin Toolbox: para verificar el correo en general.
DMARC Analyzer: específico para DMARC.

Enviar un correo de prueba

Envía un correo a una cuenta de Gmail o Outlook. Luego:

Abre el correo recibido.
Haz clic en "Mostrar original" (en Gmail) o "Ver fuente del mensaje" (en Outlook).
Busca las líneas SPF: PASS, DKIM: PASS y DMARC: PASS.

Si ves PASS en los tres, ¡felicidades! Tu correo seguro en Plesk está configurado correctamente.

Paso 6: Configuración avanzada (opcional)

Si quieres llevar tu seguridad al siguiente nivel:

Política de DMARC estricta

Después de unas semanas con p=none y confirmar que no hay falsos positivos, cambia tu registro DMARC a:

v=DMARC1; p=quarantine; rua=mailto:reportes@tudominio.com; pct=100

Y más tarde a:

v=DMARC1; p=reject; rua=mailto:reportes@tudominio.com; pct=100

Alineación estricta de DKIM y SPF

Puedes agregar adkim=s y aspf=s a tu registro DMARC para exigir una alineación estricta del dominio. Esto es más seguro pero puede causar problemas si usas servicios de terceros para enviar correos en tu nombre (como newsletters).

Errores comunes y cómo solucionarlos

1. SPF con múltiples registros

Si tienes más de un registro SPF, los servidores de destino lo ignorarán. Elimina los duplicados y combina todas las IPs y hosts permitidos en un solo registro.

2. DKIM no firmado

Asegúrate de que la casilla "Activar DKIM" esté marcada en la configuración de correo de Plesk. Además, verifica que la clave pública en DNS sea exactamente la que Plesk te muestra.

3. DMARC con errores de sintaxis

Un error común es olvidar el punto y coma al final de cada etiqueta. Revisa que tu registro DMARC tenga el formato correcto.

4. Cambios DNS que tardan en propagarse

Los cambios DNS pueden tardar de 24 a 48 horas en propagarse a nivel mundial. Si acabas de configurarlo, espera un poco antes de verificar.

Preguntas frecuentes (FAQ)

¿Qué diferencia hay entre Plesk y Syspanel?

Syspanel (anteriormente conocido como HestiaCP) es otro panel de control de hosting, similar en funciones a Plesk. Si usas Syspanel, el puerto de acceso es el 2106 (por ejemplo, https://tu-servidor:2106). La configuración de SPF, DKIM y DMARC es conceptualmente la misma, aunque los menús y nombres de las opciones pueden variar ligeramente.

¿Puedo configurar SPF y DKIM sin tener acceso a Plesk?

Si tu DNS está gestionado por un proveedor externo (como Cloudflare o tu registrador de dominios), puedes añadir los registros TXT manualmente desde allí. Solo necesitas los valores que te proporciona Plesk.

¿Qué significa "correo seguro Plesk"?

Se refiere a la implementación de los tres protocolos de autenticación (SPF, DKIM y DMARC) en tu servidor de correo gestionado por Plesk. Esto garantiza que tus correos sean verificados y protegidos contra la suplantación de identidad.

¿Estos registros afectan el envío de newsletters?

Si utilizas servicios como Mailchimp o SendGrid, ellos te proporcionarán sus propios registros SPF y DKIM para que los añadas a tu DNS. Debes combinar sus registros con los tuyos para evitar conflictos.

¿Cómo evito que mis correos caigan en spam?

Además de SPF, DKIM y DMARC, asegúrate de:

No usar palabras spam en el asunto o cuerpo del correo.
Mantener una buena reputación de IP.
Incluir una dirección de respuesta válida.
No enviar correos masivos a direcciones que no hayan dado su consentimiento.

Conclusión

Configurar SPF, DKIM y DMARC en Plesk es una de las mejores decisiones que puedes tomar para proteger tu dominio y mejorar la entregabilidad de tus correos. Aunque el proceso puede parecer técnico, con esta guía paso a paso podrás hacerlo sin problemas.

Recuerda que la seguridad informática es un proceso continuo. Revisa periódicamente tus registros DNS y los informes de DMARC para asegurarte de que todo sigue funcionando correctamente.

Si tienes dudas, no dudes en consultar la documentación oficial de Plesk o contactar con tu proveedor de hosting. ¡Tu correo seguro te lo agradecerá!