Guía de configuración de DKIM, DMARC y SPF de Cloudblast

Cloudblast es un proveedor de alojamiento VPS en la nube, no un servicio de correo electrónico. Te proporciona un servidor, una dirección IP pública y acceso de root, pero no ofrece nada que se parezca a una pantalla para «conectar tu dominio de envío». Si utilizas ese VPS para gestionar tu propio servidor de correo, ya sea a través de Postfix, un panel de control como CyberPanel u OpenPanel, u otra aplicación SMTP, la configuración de SPF, DKIM y DMARC recae íntegramente en ti. Esta guía explica qué hay que configurar, dónde hacerlo y cómo comprobar que realmente funciona.

¿Por qué autenticar un dominio alojado en Cloudblast?

Cloudblast se promociona en torno a la infraestructura básica: planes de VPS con procesadores AMD EPYC, protección DDoS integrada y facturación por horas, dirigidos a desarrolladores que desean gestionar su propia pila tecnológica. Nada de esto incluye un servicio gestionado de envío de correo electrónico, por lo que, si configuras un servidor de correo apuntando a tu instancia de Cloudblast —ya sea para un producto SaaS, un buzón de asistencia o correo transaccional—, la autenticación de tu dominio consiste en una configuración DNS manual y puntual, en lugar de ser algo que el proveedor de alojamiento gestione por ti.

Si se configuran correctamente SPF, DKIM y DMARC en un entorno autohospedado, se obtienen los mismos resultados que con cualquier dominio debidamente autenticado:

• Evita la suplantación de identidad: dificulta que otras personas envíen correos electrónicos falsos o de phishing que parezcan proceder de tu dominio.
• Mejora la entrega en la bandeja de entrada: ofrece a Gmail, Outlook y otros proveedores un motivo para confiar en los correos que llegan desde una IP de VPS sin historial de envío previo.
• Protege tu reputación como remitente: dado que las direcciones IP de los servidores VPS pueden reasignarse o haber sido utilizadas anteriormente por otra persona, la autenticación, junto con la supervisión, te ayuda a detectar a tiempo los problemas de reputación.
• Te muestra quién está enviando realmente los mensajes: los informes de DMARC revelan todas las fuentes que utilizan tu dominio para enviar correo, lo cual es importante si tu servidor de Cloudblast no es el único que envía mensajes con ese nombre.

Pasos para configurar SPF y DKIM en un servidor de correo alojado en Cloudblast

No hay ningún botón en el panel de control para esto. Tendrás que trabajar directamente en tu proveedor de DNS y en el programa de correo electrónico que se ejecute en el VPS.

Paso 1: Dirige tu dominio al servidor

Elige un nombre de host para el correo saliente, por ejemplo, mail.tudominio.com, y utilízalo de forma coherente en toda tu configuración.

1. Añade un registro A que apunte mail.tudominio.com a la dirección IPv4 que Cloudblast ha asignado a tu instancia. Añade también un registro AAAA si vas a enviar datos a través de IPv6.

2. En tu panel de control de Cloudblast, configura el registro PTR (DNS inverso) de esa dirección IP con el mismo nombre de host, de modo que, al realizar una consulta sobre la dirección IP, esta apunte a mail.tudominio.com.

3. Utiliza ese mismo nombre de host en el saludo SMTP (EHLO/HELO) de tu servidor de correo para que coincida con lo que figura en el DNS.

Ninguno de estos aspectos se comprueba directamente mediante SPF, DKIM o DMARC, pero un registro PTR incorrecto o ausente es una causa habitual de que el correo procedente de un servidor autohospedado sea rechazado o filtrado antes incluso de que entre en juego la autenticación.

Paso 2: Configura tu registro SPF de Cloudblast

Tu registro SPF debe autorizar la dirección IP específica desde la que envía tu servidor de Cloudblast, ya que no existe ningún mecanismo proporcionado por Cloudblast al que recurrir.

1. Enumera todas las direcciones IP (IPv4 e IPv6) que envían correo en nombre de este dominio. Si solo tienes un VPS en funcionamiento, normalmente se trata de una sola dirección.

2. Comprueba si tu dominio ya tiene un registro SPF. Si es así, añade la IP de Cloudblast a dicho registro. Un dominio solo puede tener un registro SPF, por lo que nunca debes publicar un segundo registro TXT junto con uno ya existente.

3. En tu programa de correo electrónico, configura el remitente del sobre (Return-Path) con un dominio que controles, como tudominio.com o un subdominio como bounce.tudominio.com. Esto es lo que permite que el SPF coincida con la dirección «De» visible a efectos de DMARC.

4. Una vez que hayas confirmado la lista completa de remitentes, cierra el registro con -all. Mientras tanto, utiliza ~all si aún estás comprobando que has capturado todo.

Ejemplo de registro SPF:

tudominio.com. TXT «v=spf1 ip4:198.51.100.10 -all»

Si hay otras herramientas que también envían correo desde tu dominio, como un CRM o una plataforma de marketing, incluye sus mecanismos en el mismo registro. El SPF permite hasta 10 consultas DNS para mecanismos como «include», pero una entrada directa de IPv4 o IPv6 —que es lo que se suele utilizar para un único VPS— no cuenta para ese límite.

Si gestionas varias fuentes de envío y te estás acercando al límite, te recomendamos que eches un vistazo a nuestra solución SPF alojada; además, puedes comprobar tu registro actual con el verificador SPF de PowerDMARC.

Paso 3: Configura tu registro DKIM de Cloudblast

El DKIM debe generarse desde tu programa de correo electrónico, ya que no hay ninguna clave emitida por Cloudblast que puedas copiar.

1. Genera un par de claves utilizando la herramienta de firma de tu servidor de correo (OpenDKIM es habitual con Postfix, y la mayoría de los paneles de control cuentan con un gestor de DKIM integrado). Actualmente se recomienda una clave RSA de 2048 bits, siempre y cuando tu proveedor de DNS admita la longitud del registro resultante.

2. Elige un nombre para el selector, que formará parte del registro DNS. Es recomendable elegir algo fácil de identificar, como por ejemplo «dkim2026».

3. Publica la mitad pública de la clave como un registro TXT, sin saltos de línea ni comillas sobrantes que puedan haber quedado al copiarla desde un terminal.

Ejemplo de registro DKIM:

dkim2026._domainkey.tudominio.com. TXT «v=DKIM1; k=rsa; p=[tu clave pública]»

4. Configura tu programa de correo electrónico para que firme todos los mensajes salientes utilizando «d=tudominio.com» y «s=dkim2026», tal y como has publicado.

Mantén la clave privada restringida al proceso que firma tu correo y cambia el selector si alguna vez sospechas que se ha visto comprometida. El hecho de que un registro se resuelva correctamente en el DNS solo confirma que la clave pública está publicada; no confirma que tu servidor esté firmando realmente con la clave privada correspondiente, por lo que sigue siendo importante realizar pruebas con un mensaje real.

Puedes comprobar el registro en sí mismo con el verificador DKIM de PowerDMARC.

Pasos para habilitar un registro DMARC en tu dominio de Cloudblast

Cloudblast no tiene nada que ver con DMARC; se publica de forma independiente a nivel de dominio y se aplica a todas las fuentes que envían correo como ese dominio, no solo a tu VPS. Crea uno utilizando el generador gratuito de registros DMARC de PowerDMARC en lugar de escribir la sintaxis a mano.

1. Crea una dirección de correo electrónico para recibir los informes agregados, si aún no dispones de una, como por ejemplo [email protected].

2. Empieza con la política configurada en p=none. A continuación se explica qué hacen realmente las tres opciones:

• p=ninguno (Monitor): El correo se entrega con normalidad mientras recopilas informes sobre quiénes envían mensajes utilizando tu dominio.
• p = cuarentena (etapa): el correo no autenticado se desvía a la carpeta de spam.
• p=rechazar (obligatorio): El correo no autenticado se bloquea directamente.

3. Introduce tu dirección de notificación en el campo «rua ».

4. Publica el valor generado como un único registro TXT en _dmarc.tudominio.com. Si ya existe allí un registro DMARC de una configuración anterior, sustitúyelo en lugar de añadir uno segundo.

Ejemplo de registro en modo de monitorización:

_dmarc.tudominio.com. TXT «v=DMARC1; p=none; rua=mailto:[email protected]»

Si tanto el remitente del sobre como el valor «d=» de DKIM apuntan a tu propio dominio, tal y como se indicó en los pasos 2 y 3, un servidor Cloudblast autohospedado suele estar bien preparado para cumplir con DMARC mediante cualquiera de los dos métodos. Aun así, no pases directamente a «p=reject» antes de haberlo confirmado con datos reales. Si tu dominio ya se encuentra en «p=quarantine» o «p=reject» debido a una configuración anterior, mantén esa política mientras corriges la autenticación específicamente para el servidor de Cloudblast.

Verifique su configuración

Comprueba los registros DNS

Comprueba tus registros SPF, DKIM, DMARC, A y PTR para asegurarte de que se han publicado correctamente y de que no contienen errores tipográficos. El Analizador de dominios de PowerDMARC puede comprobar los registros SPF, DKIM y DMARC de una sola vez.

Envía un correo electrónico de prueba real

El hecho de que un registro se resuelva en el DNS no demuestra que tu servidor lo esté utilizando. Envía un mensaje real a través de la misma aplicación y con las mismas credenciales que utiliza tu correo de producción, no mediante un cliente de correo de escritorio independiente, ya que este seguiría una ruta completamente diferente.

Lee los resultados de la autenticación

Abre los encabezados del mensaje y comprueba que aparezcan «spf=pass», «dkim=pass» y «dmarc=pass». Confirma que «header.from» coincida tanto con «smtp.mailfrom» (SPF) como con «header.d» (DKIM). Si prefieres no analizar los encabezados sin procesar, el analizador de encabezados de correo electrónico de PowerDMARC lo hace por ti.

Si algo falla al primer intento, espera entre 24 y 48 horas a que se propague el DNS antes de seguir investigando el problema; un registro que acaba de publicarse no será visible en todas partes de forma inmediata.

Preguntas frecuentes

¿En qué se diferencia esta configuración de la configuración de SPF, DKIM y DMARC en una plataforma de correo electrónico?

En una plataforma como Kit o Twikey, el proveedor genera por ti los valores SPF «include» y DKIM «CNAME», y tú solo tienes que copiarlos en el DNS. En Cloudblast, no existe una pantalla equivalente. Eres tú quien genera el par de claves DKIM e identifica la IP de envío, ya que Cloudblast solo aloja el servidor, pero no ejecuta la aplicación de correo sobre él.

Me he saltado el paso del DNS inverso (PTR) y solo he configurado SPF, DKIM y DMARC. ¿Seguirá funcionando la autenticación?

SPF, DKIM y DMARC seguirán evaluándose con normalidad, ya que ninguno de estos tres protocolos comprueba directamente los registros PTR. Sin embargo, varios proveedores de correo electrónico rechazan o filtran en gran medida las conexiones procedentes de una dirección IP cuyo DNS inverso no resuelve a un nombre de host coincidente, por lo que el correo puede seguir siendo marcado o bloqueado en la fase de conexión, incluso aunque los tres registros estén publicados correctamente.

Tengo varios dominios alojados en el mismo VPS de Cloudblast. ¿Pueden utilizar todos ellos el mismo selector DKIM?

Los selectores tienen un ámbito de aplicación por dominio en el DNS (selector._domainkey.tudominio.com), por lo que, técnicamente, el mismo nombre de selector puede reutilizarse en diferentes dominios sin que se produzca ningún conflicto, siempre y cuando cada dominio publique su propia clave pública correspondiente. Lo importante es que el valor «d=» de cada mensaje firmado coincida con el dominio cuyo DNS alberga la clave de ese selector.

Mi registro SPF ya incluye otros servicios (como un CRM o una herramienta de atención al cliente). ¿Si añado la IP de Cloudblast, se verán afectados esos servicios?

No, siempre y cuando edites el registro existente en lugar de publicar un segundo registro SPF TXT en el mismo servidor. Añade tu IP de Cloudblast como un mecanismo IPv4 adicional junto a los ya existentes. Lo que provoca que el SPF falle es que un dominio tenga dos registros SPF distintos, no el hecho de incluir varios mecanismos dentro de un mismo registro.

¿Cuánto tiempo tardaré en ver mi IP de Cloudblast en los informes agregados tras publicar mi registro DMARC?

La mayoría de los principales servidores de recepción envían informes agregados (RUA) en un ciclo de procesamiento por lotes de aproximadamente 24 horas, por lo que debes esperar al menos un día antes de que llegue tu primer informe y, posiblemente, más tiempo, dependiendo del volumen de correo que reciba ese servidor procedente de tu dominio.

¿Tengo que seguir comprobando la autenticación tras la configuración inicial, o se trata de una tarea que solo hay que realizar una vez?

Vale la pena considerarlo un proceso continuo. Una configuración de VPS puede sufrir desviaciones de forma imperceptible: una dirección IP puede reasignarse durante una migración, un selector DKIM puede rotarse o alguien puede modificar manualmente un registro DNS, y nada de eso genera un mensaje de error en el momento del envío. Revisar periódicamente los informes agregados de DMARC es la forma de detectar ese tipo de desviaciones antes de que afecten a la capacidad de entrega.

Palabras finales

Alojar tu propio servicio de correo en un VPS de Cloudblast te ofrece un control total sobre tu infraestructura de envío, pero también implica que la configuración y la supervisión de SPF, DKIM y DMARC recaen íntegramente en ti. Si quieres que alguien revise tu política, un proceso que vaya desde la supervisión hasta la aplicación de las normas, o alertas continuas cuando se produzca algún cambio, el equipo de PowerDMARC está aquí para ayudarte.

Ponte en contacto con nosotros o solicita una demostración con PowerDMARC para ver cómo funciona la supervisión continua de la autenticación en una configuración autogestionada como esta.

• Acerca de
• Últimas publicaciones

Ayan Bhuiya

Jefe de turno y experto en infraestructura y seguridad del correo electrónico en PowerDMARC

Con más de 13 años de experiencia en ciberseguridad, Ayan Bhuiya está especializado en infraestructuras, continuidad empresarial, gestión de riesgos y seguridad del correo electrónico. Actualmente es Jefe de Turno en PowerDMARC. Posee un Diploma de Postgrado en Redes y Seguridad y cuenta con un historial probado de liderazgo en iniciativas estratégicas de seguridad para mitigar las amenazas y garantizar la resiliencia de las empresas.

Últimos comentarios de Ayan Bhuiya (ver todos)

• Guía de configuración de DKIM, DMARC y SPF de Cloudblast - 12 de agosto de 2026
• Cómo configurar SPF, DKIM y DMARC en Beehiiv [2026] - 7 de julio de 2026
• Guía de solución de problemas y corrección de códigos de error de Microsoft - 22 de junio de 2026