Correo desechable Herramientas
Actualizado el 29 de octubre de 2026
Sin SPF, DKIM ni DMARC, cualquiera puede enviar correos que parecen venir de tu dominio. Escribe un dominio o una dirección: la herramienta lee su configuración pública y te dice exactamente qué corregir.
Cuando llega un correo, el servicio de correo del destinatario consulta el DNS del dominio del remitente para saber si es auténtico. La herramienta lee exactamente los mismos registros públicos:
| Registro | Dónde está | Para qué sirve |
|---|---|---|
| MX | ejemplo.es | Indica los servidores que reciben el correo del dominio |
| SPF | TXT de ejemplo.es | Enumera los servidores autorizados a enviar en nombre del dominio |
| DKIM | TXT de selector._domainkey.ejemplo.es | Publica la clave que verifica la firma de los mensajes |
| DMARC | TXT de _dmarc.ejemplo.es | Dice qué hacer con un mensaje que falla y adónde enviar los informes |
| MTA-STS | TXT de _mta-sts.ejemplo.es | Obliga a cifrar los mensajes recibidos (opcional) |
| BIMI | TXT de default._bimi.ejemplo.es | Muestra el logotipo de la marca en algunos servicios de correo (opcional) |
La nota sobre 100 resume la protección. SPF y sobre todo DMARC son los que más pesan, porque son los que impiden la suplantación. MTA-STS y BIMI suman puntos extra. DKIM solo cuenta si se encuentra una clave o si indicas un selector.
Cada proveedor publica su clave DKIM bajo un nombre que elige él, el selector: google en Google Workspace, selector1 y selector2 en Microsoft 365, y otros en otros servicios. El DNS no permite listar esos nombres. La herramienta prueba los más habituales; si no encuentra nada, eso no demuestra que falte DKIM.
Para saber cuál es tu selector, abre un correo enviado desde tu dominio, muestra sus cabeceras y busca la línea DKIM-Signature: el valor después de s= es el selector, y el que va después de d=, el dominio firmante. El analizador de cabeceras de Boxo te ayuda a leerlas.
El protocolo de correo permite escribir cualquier dirección en el campo «De». Sin autenticación, un estafador puede enviar facturas falsas o falsos avisos de contraseña que parecen venir de tu empresa. Tus clientes son las víctimas, y tu reputación también.
La entrega es la otra cuestión. Desde 2024, Gmail y Yahoo exigen a los remitentes masivos que autentiquen sus mensajes con SPF, DKIM y DMARC. Incluso en un dominio pequeño, un SPF ausente o roto hace que los mensajes legítimos acaben a menudo en spam.
~all. Los registros que propone la herramienta son un punto de partida que hay que adaptar.p=none** con una dirección rua y lee los informes durante unas semanas.p=quarantine y luego a p=reject** cuando todos tus envíos legítimos pasen.Un dominio que nunca envía correos, como un nombre reservado para proteger una marca, también debe bloquearse: v=spf1 -all y v=DMARC1; p=reject;. Si no, sigue siendo un blanco ideal para la suplantación, precisamente porque nadie lo vigila.
Los cambios de DNS tardan desde unos minutos hasta unas horas en verse. Después, vuelve a lanzar el análisis para comprobarlo.
Obtener una dirección desechable
No. Solo lee registros DNS públicos, los mismos que consulta cualquier servicio de correo al recibir un mensaje. No se envía ningún mensaje.
Ambos sirven en cuanto DMARC está activo. «~all» es más tolerante durante la puesta en marcha, por si se ha olvidado algún servicio de envío. Cuando todos tus remitentes figuren, «-all» es más estricto.
Está publicada bajo un selector elegido por tu proveedor, y el DNS no permite listarlo. Escríbelo en el campo previsto: aparece después de «s=» en la cabecera DKIM-Signature de un correo enviado desde tu dominio.
Sí, si alguno de tus servicios de envío no está autorizado por SPF o firmado con DKIM. Por eso hay que empezar con «p=none» y leer los informes antes de endurecer la política.