Comprueba la salud del correo de tu dominio

Esta página lee la configuración de correo de un dominio tal y como está publicada en el DNS y te dice qué falta o qué está flojo. Escribes un dominio, por ejemplo tudominio.com, y en unos segundos ves el estado de SPF, DKIM, DMARC, los servidores de correo, el cifrado en tránsito y si el dominio aparece en alguna lista negra. No hay que registrarse ni instalar nada.

Antes de que escribas nada, la parte importante: aquí no pones un dato tuyo, pones un dominio. La consulta la hace mi servidor contra el DNS público y contra los servidores de correo del dominio, igual que haría cualquier sistema que le fuese a mandar un correo. No se guarda nada de lo que consultas.

Comprueba tu dominio

Escribe el dominio y dale a analizar. Debajo explico qué mira cada comprobación y cómo leer el resultado, porque algunos avisos se malinterpretan con facilidad.

Qué mira cada comprobación

Las tres primeras son las que deciden si tu correo llega y si alguien puede falsificarlo:

• SPF dice qué servidores tienen permiso para enviar en nombre de tu dominio. La herramienta también cuenta las consultas que encadena, porque SPF tiene un límite de diez y pasarse lo rompe entero, un fallo muy común y silencioso.
• DKIM es la firma que viaja con cada correo. Como esa firma vive en un selector que solo conoce quien envía, aquí se prueban los selectores más habituales. Si usas uno propio y no aparece, no significa que falte: significa que no está entre los comunes.
• DMARC es la regla que le dice al receptor qué hacer cuando un correo dice venir de tu dominio pero no pasa SPF ni DKIM. Es la pieza que de verdad para la suplantación, y la que más gente deja a medias.

El resto son capas de refuerzo que el análisis también te marca: los registros MX y si sus servidores contestan, el cifrado TLS en la entrega, MTA-STS y DNSSEC para que ese cifrado no se pueda degradar, CAA para controlar quién emite certificados de tu dominio, y las listas negras de reputación.

El aviso de DMARC que no conviene ignorar

Si el resultado te marca DMARC en p=none, quiere decir que el registro existe pero no le pide al receptor que haga nada: los correos que suplantan tu dominio siguen entrando. none es el primer escalón, no el destino. El recorrido completo es none para observar, quarantine para mandar a spam lo que falla, y reject para rechazarlo en la puerta, y cada escalón se sube leyendo los informes que el propio DMARC te manda.

Ese hueco no es teórico. Conté un caso real en el que un correo suplantando al propio dominio de una empresa se coló pese al MFA, y lo único que lo separaba de quedar bloqueado era esa línea del DNS. Si esta herramienta te devuelve p=none, ese artículo explica exactamente qué estás mirando y cómo subir los escalones sin cortarte el correo legítimo.

Qué hacer con el resultado

1. Empieza por lo que salga en rojo. Un SPF que se pasa del límite de diez consultas o un DMARC en none pesan mucho más que un BIMI que te falte.
2. Arregla una cosa y vuelve a analizar. Los cambios en el DNS tardan en propagarse, así que no esperes verlos al instante: dale unos minutos y repite la comprobación.
3. Con DMARC, ve por escalones. No saltes de none a reject de golpe. Pasa antes por quarantine y lee los informes unas semanas para no tumbar correo legítimo.

Qué pasa con lo que escribes aquí

El análisis es anónimo: escribes un dominio, se consulta en el momento y no se guarda nada. No pide correo ni registro.

Debajo del resultado hay un extra opcional: un resumen redactado con IA que además te llega en PDF. Ese sí pide tu correo y te manda un código para verificarlo, porque el informe se envía por correo. Esa dirección se guarda solo para mandártelo y se borra a los 90 días. Si solo quieres el diagnóstico, no toques esa parte: el análisis de arriba ya te lo da entero y sin dejar rastro.

Y si prefieres no escribir nada en una herramienta ajena, todo lo que ves sale de consultas al DNS y una conexión al puerto 25: lo puedes reproducir desde cualquier terminal con dig y openssl s_client.