Si has leído el capítulo sobre los tipos de registros DNS, sabes que cada registro de tu zona DNS tiene una función concreta. Los registros A apuntan a direcciones IP. Los registros MX gestionan el enrutamiento del correo. Un registro TXT no hace ninguna de las dos cosas. Contiene una línea de texto plano que le cuenta a otros sistemas algo sobre tu dominio. Ese texto puede decir "este proveedor de correo puede enviar en mi nombre", "sí, soy el titular de este dominio" o "esta es la clave para verificar mis mensajes".
Piensa en una nota clavada en la puerta de tu casa. No cambia cómo funciona la casa. Pero cualquiera que se acerque y la lea sabrá algo importante sobre quién vive allí y qué ha autorizado.
¿Qué aspecto tiene un registro TXT?
Un registro TXT tiene cuatro partes, igual que otros registros DNS. Esto es lo que hace cada una.
- El nombre de host (nombre) es el dominio o subdominio al que se aplica el registro. Para tu dominio principal, suele ser "@" o se deja en blanco. Para un subdominio como mail.yourdomain.com, el nombre de host sería "mail"
- El tipo le dice al sistema DNS que es un registro TXT
- El valor es el propio contenido de texto. Puede ser un código de verificación, una política de correo, una clave pública o cualquier otra cadena de hasta 255 caracteres por segmento
- El TTL (tiempo de vida) controla cuánto tiempo guardan en caché este registro los servidores DNS antes de comprobar si hay actualizaciones. Lo habitual es 3600 segundos, que equivale a una hora
Así se ve un registro TXT sencillo en un panel de ajustes DNS.
- Nombre de host configurado como @
- Tipo configurado como TXT
- Valor configurado como "v=spf1 include:_spf.example.com ~all"
- TTL configurado como 3600
Ese ejemplo es un registro SPF, uno de los tipos más comunes de registro TXT. Las secciones siguientes explican qué significa SPF y cómo funcionan otros registros de seguridad del correo.
¿Cómo se usa un registro TXT para verificar un dominio?
Es el uso más sencillo de un registro TXT. Un servicio necesita una prueba de que el dominio es tuyo. La demuestras añadiendo un registro que solo podría añadir el titular del dominio.
Así funciona el proceso.
- Te das de alta en un servicio y le indicas tu nombre de dominio
- El servicio te da un código de verificación único
- Entras en tus ajustes DNS y añades un registro TXT con ese código como valor
- El servicio busca el registro TXT en tu DNS
- Si encuentra el código, la verificación queda completa
¿Por qué funciona? Porque solo quien tiene acceso a tus ajustes DNS puede añadir registros allí. El código de verificación no significa nada por sí solo. Solo demuestra que tienes las llaves de la zona DNS.
¿Qué es un registro SPF?
Qué significa SPF
SPF significa Sender Policy Framework. Es un registro TXT que enumera qué servidores de correo pueden enviar email usando tu nombre de dominio. Cuando alguien recibe un correo tuyo, su servidor de correo consulta tu registro SPF para ver si el servidor emisor está en la lista aprobada.
Qué hace un registro SPF
Sin un registro SPF, cualquiera puede enviar un correo que parezca venir de tu dominio. Esto se llama suplantación de correo (email spoofing). Es uno de los trucos más antiguos del phishing, y funciona porque el servidor receptor no tiene forma de comprobar si el remitente es quien dice ser.
Un registro SPF lo arregla. Es como darle a la oficina de correos una lista de mensajeros autorizados a enviar paquetes en tu nombre. Si llega un paquete de un mensajero que no está en la lista, la oficina sabe que algo no cuadra.
Aquí tienes un ejemplo.
v=spf1 include:_spf.mailprovider.com ~all
Esto dice tres cosas.
- v=spf1 identifica este registro como un registro SPF
- include:_spf.mailprovider.com significa "los servidores que enumera este proveedor de correo pueden enviar email para mi dominio"
- ~all significa "si un correo llega desde cualquier otro servidor, trátalo como sospechoso pero no lo rechaces de plano"
Si "~all" se cambiara por "-all", la regla sería más estricta. Indicaría a los servidores receptores que rechacen sin más todo lo que no esté en la lista aprobada.
¿Qué es un registro DKIM?
Qué significa DKIM
DKIM significa DomainKeys Identified Mail. Mientras SPF comprueba quién envió el correo, DKIM comprueba si el correo fue manipulado de camino a tu bandeja de entrada.
Cómo funciona la clave pública
Piensa en DKIM como el lacre de una carta. Cuando tu servidor de correo envía un email, le estampa una firma oculta. Esa firma se crea con una clave privada que solo conoce tu servidor. La clave pública correspondiente está en un registro TXT de tu dominio, visible para cualquiera que mire.
Cuando el servidor receptor recibe el correo, lee tu clave pública del DNS y la compara con la firma. Si coinciden, el correo queda verificado como auténtico y sin alteraciones. Si no coinciden, puede que el correo se haya modificado por el camino.
No necesitas entender la clave en sí. Tu proveedor de correo la genera y te dice exactamente qué pegar en tus ajustes DNS. El registro TXT de DKIM suele estar en un subdominio con un aspecto como "selector._domainkey.yourdomain.com".
¿Qué es un registro DMARC?
Cómo une DMARC a SPF y DKIM
SPF comprueba de dónde vino el correo. DKIM comprueba que no se alteró. Pero ¿qué pasa cuando falla una de esas comprobaciones? Sin DMARC, cada servidor receptor decide por su cuenta. Unos lo envían a spam. Otros lo dejan pasar. Otros lo rechazan. No tienes ningún control.
DMARC significa Domain-based Message Authentication, Reporting, and Conformance. Es un registro TXT que te pone al mando. Tú fijas las reglas de lo que ocurre cuando un correo no pasa SPF o DKIM.
Qué significan las políticas de DMARC
Un registro DMARC se añade como registro TXT en el subdominio "_dmarc.yourdomain.com". Aquí tienes un ejemplo sencillo.
v=DMARC1; p=quarantine; rua=mailto:reports@yourdomain.com
Esto indica tres cosas a los servidores receptores.
- v=DMARC1 identifica este registro como un registro DMARC
- p=quarantine es la política. Indica al servidor receptor que envíe a la carpeta de spam, en lugar de a la bandeja de entrada, los correos que no pasen la autenticación
- rua=mailto:reports@yourdomain.com indica a los servidores que envíen informes de autenticación a esta dirección de correo para que puedas ver quién envía correo usando tu dominio
El campo de política (p=) tiene tres opciones.
- none significa no hacer nada, solo enviar informes. Es útil cuando configuras DMARC por primera vez y quieres vigilar antes de aplicar reglas
- quarantine significa enviar a spam los correos que fallen
- reject significa bloquear por completo los correos que fallen para que nunca lleguen al destinatario
Juntos, SPF, DKIM y DMARC forman tres capas de protección del correo. SPF es la lista de invitados. DKIM es el lacre. DMARC es el portero que decide qué pasa cuando alguien no supera las dos primeras comprobaciones. Si estás configurando un correo propio con tu dominio, los tres registros son importantes.
¿Qué más pueden hacer los registros TXT?
La seguridad del correo y la verificación de dominios son los dos usos principales, pero los registros TXT aparecen en otros lugares.
- Verificación en buscadores. Los buscadores te piden añadir un registro TXT para demostrar que el dominio es tuyo antes de darte acceso a los datos de rendimiento en búsquedas
- Políticas de seguridad. Algunas organizaciones usan registros TXT para publicar información de contacto de seguridad o preferencias sobre autoridades de certificación
- Autenticación de servicios. Las plataformas de analítica, los servicios de publicidad y otras herramientas suelen exigir un registro TXT para vincular tu dominio a tu cuenta
- Metadatos personalizados. Cualquier información en texto que otros servidores o servicios necesiten leer sobre tu dominio puede guardarse en un registro TXT
Los registros TXT son la navaja suiza del DNS. Si un servicio necesita verificar, autenticar o comunicar algo sobre tu dominio, lo más probable es que use un registro TXT para hacerlo.
¿Cómo se añade un registro TXT?
Añadir un registro TXT sigue los mismos pasos que añadir cualquier otro registro DNS. Si ya has añadido un registro A o MX, te resultará familiar.
- Inicia sesión en el panel de gestión de DNS donde estén configurados los servidores de nombres de tu dominio. Suele ser tu registrador de dominios o tu proveedor de hosting
- Busca la sección de registros DNS o el editor de zona DNS
- Haz clic en la opción de añadir un registro nuevo
- Selecciona TXT como tipo de registro
- Introduce el nombre de host. Usa "@" para el dominio raíz o el nombre de un subdominio concreto si el servicio lo exige
- Pega el valor exacto que te da el servicio que estás configurando. No lo vuelvas a escribir a mano
- Configura el TTL. Si no estás seguro, usa el valor predeterminado que sugiere tu proveedor o ponlo en 3600
- Guarda el registro
Algo que conviene tener en cuenta. Los cambios de DNS pueden tardar desde unos minutos hasta 48 horas en extenderse por internet. Esto se llama propagación del DNS. Durante ese tiempo, algunos servidores pueden seguir viendo los ajustes antiguos mientras otros ven los nuevos. Para más detalle sobre este proceso, lee el capítulo sobre cómo funciona el DNS.
¿Cuáles son los errores más comunes con los registros TXT?
Los registros TXT son fáciles de añadir, pero hay unos pocos errores repetidos que hacen tropezar a la gente.
- Pegar el valor equivocado. Los valores de los registros TXT suelen ser cadenas largas de caracteres aleatorios. Si falta un carácter o sobra un espacio, todo se rompe. Copia y pega siempre directamente desde el servicio que te dio el valor
- Varios registros SPF en el mismo dominio. Solo puedes tener un registro SPF por dominio. Si necesitas autorizar a varios proveedores de correo, combínalos en un solo registro SPF con varias instrucciones "include". Dos registros SPF separados provocarán un comportamiento impredecible y fallos en la entrega del correo
- Añadir el registro al nombre de host equivocado. Algunos registros TXT van en el dominio raíz (@), mientras que otros van en un subdominio concreto como "_dmarc" o "selector._domainkey". Si pones el registro en el sitio equivocado, el servicio que lo busca no lo encontrará
- Olvidar guardar. Parece básico, pero muchos paneles DNS exigen pulsar un botón de guardar o confirmar tras introducir el registro. Si cierras la página antes de guardar, el registro no se crea
- No esperar a la propagación. Después de añadir un registro TXT, puede que el servicio de verificación no lo encuentre enseguida. Dale al menos entre 15 y 30 minutos antes de repetir la comprobación
¿Qué pasa cuando los registros TXT son incorrectos o faltan?
Las consecuencias dependen de qué registro TXT esté afectado.
- Si tu registro SPF falta o es incorrecto, es más probable que tus correos acaben en spam. Los servidores receptores no pueden confirmar que tu servidor de correo está autorizado, así que van sobre seguro
- Si tu registro DKIM falta, tus correos carecen de una firma verificable. Algunos destinatarios los aceptarán igualmente, pero los filtros de spam se vuelven más desconfiados
- Si tu registro DMARC falta, no tienes ningún control sobre lo que ocurre con los correos que fallan las comprobaciones SPF o DKIM. Cada servidor receptor decide por su cuenta
- Si se elimina un registro TXT de verificación, el servicio que lo exigía puede revocar tu acceso o mostrar un aviso de que ya no se confirma la titularidad del dominio
Ninguno de estos problemas dejará tu web fuera de línea. Los registros TXT no afectan a cómo carga tu sitio ni a cómo llegan los visitantes. Pero los registros TXT que faltan o están rotos pueden perjudicar la entregabilidad de tu correo y tu capacidad de usar servicios vinculados a tu dominio.
Cómo gestiona WEMASY los registros TXT
Cuando conectas un dominio propio a tu web de WEMASY, WEMASY te guía por los registros DNS que debes añadir. Si tu plan incluye funciones de correo o si estás verificando tu dominio para herramientas de búsqueda, WEMASY te indica exactamente qué registros TXT crear, incluidos el nombre de host y el valor que debes pegar.
WEMASY se encarga del SSL y del hosting por su parte, así que los registros TXT que añades se centran en la verificación y la seguridad del correo, no en el enrutamiento. Cuando tus registros están en su sitio y el DNS se ha propagado, todo se conecta automáticamente. Consulta lo que incluye cada plan en la página de precios de WEMASY.
Qué viene después
Ahora que entiendes cómo funcionan los registros TXT para la verificación y la seguridad del correo, el siguiente capítulo trata los registros NS. Los registros NS controlan qué servidores de nombres son responsables de toda la zona DNS de tu dominio y están en la base de cómo se encuentran todos tus demás registros. Para ver todos los tipos de registro y cuándo usar cada uno, consulta el capítulo sobre los tipos de registros DNS.
Preguntas frecuentes
¿Se pueden tener varios registros TXT en el mismo dominio?
Sí. Un dominio puede tener muchos registros TXT a la vez. Puedes tener uno para SPF, otro para la verificación del dominio y otro para DKIM en un subdominio. La única excepción es SPF. Solo debes tener un registro SPF por dominio. Si necesitas autorizar a varios proveedores de correo, combínalos en un solo registro SPF. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Afecta un registro TXT a la velocidad de carga de tu web?
No. Los registros TXT no intervienen en el enrutamiento del tráfico web. Solo los leen los servicios que los buscan expresamente, como los servidores de correo que comprueban SPF o las herramientas de verificación que comprueban la titularidad. La velocidad de tu web depende de tu registro A, de tu servidor y de tu configuración de hosting, no de tus registros TXT.
¿Cuánto tarda un registro TXT en empezar a funcionar?
Depende de la propagación del DNS y del TTL de los registros anteriores. En la mayoría de los casos, un registro TXT nuevo es visible en 15 a 30 minutos. La propagación completa por todos los servidores DNS del mundo puede tardar hasta 48 horas, aunque es raro en registros nuevos que antes no existían.
¿Cuál es la longitud máxima del valor de un registro TXT?
Una sola cadena de un registro TXT puede tener hasta 255 caracteres. Si el valor tiene que ser más largo, se divide en varias cadenas dentro del mismo registro. En la mayoría de los casos, tu proveedor de DNS hace esa división automáticamente. Los servicios que generan valores TXT largos, como las claves DKIM, tienen en cuenta este límite cuando crean el registro por ti.
¿Necesitas registros TXT si no envías correo desde tu dominio?
Sigue siendo buena idea. Aunque no envíes correo, añadir un registro SPF que indique que ningún servidor está autorizado (v=spf1 -all) evita que los spammers suplanten tu dominio. Sin registros de autenticación del correo, cualquiera puede enviar correos que parezcan venir de tu dominio, lo que puede dañar tu reputación.