# ¿Cómo compruebo mis registros MX, SPF, DKIM y DMARC? > Compruebe el DNS del correo con dig MX, dig TXT, dig CNAME en _domainkey y dig TXT _dmarc: 6 consultas cubren Proton Mail completo, 8 registros. - URL: https://postelva.com/es/guides/check-email-dns-records/ - Última actualización: 2026-11-12 - Editor: Postelva (https://postelva.com) Cuatro tipos de registro, una herramienta de línea de comandos. Ejecute las consultas después de cada cambio y antes de endurecer cualquier política. **Respuesta rápida — ¿Cómo compruebo los registros MX, SPF, DKIM y DMARC?** Ejecute dig MX sudominio +short para MX, dig TXT sudominio +short para SPF, dig CNAME selector._domainkey.sudominio +short para DKIM y dig TXT _dmarc.sudominio +short para DMARC. En Windows, nslookup hace lo mismo. Una configuración completa de Proton Mail en un dominio de **Postelva** requiere 6 consultas para 8 registros. ## Qué consulta comprueba qué registro | Registro | Comando dig | Qué aspecto tiene una respuesta correcta | | --- | --- | --- | | MX | dig MX example.com +short | 10 mail.protonmail.ch. y 20 mailsec.protonmail.ch. (Proton Mail) | | SPF | dig TXT example.com +short | Una línea que empieza por v=spf1, por ejemplo "v=spf1 include:_spf.protonmail.ch ~all" | | DKIM | dig CNAME fm1._domainkey.example.com +short | El destino del proveedor, por ejemplo fm1.example.com.dkim.fmhosted.com. (Fastmail) | | DMARC | dig TXT _dmarc.example.com +short | Una línea que empieza por v=DMARC1, por ejemplo "v=DMARC1; p=none; rua=mailto:dmarc@example.com" | | MTA-STS (opcional) | dig TXT _mta-sts.example.com +short | "v=STSv1; id=..." | *Última comprobación el 12 de noviembre de 2026; los datos más antiguos llevan su propia fecha.* *Las consultas con dig, nslookup y PowerShell* ```bash # dig (macOS, Linux, Windows with BIND tools) dig MX example.com +short dig TXT example.com +short dig CNAME protonmail._domainkey.example.com +short dig TXT _dmarc.example.com +short # Ask the authoritative nameserver directly, skipping caches dig NS example.com +short dig MX example.com +short @ns1.your-nameserver.example # nslookup (Windows, macOS, Linux) nslookup -type=MX example.com nslookup -type=TXT _dmarc.example.com # PowerShell Resolve-DnsName -Type MX example.com Resolve-DnsName -Type TXT _dmarc.example.com ``` ## ¿Cómo compruebo un registro MX? **Ejecute dig MX con su dominio y +short, y compare las prioridades y los nombres de host con los valores que le dio su proveedor.** La respuesta imprime una línea por registro: la prioridad, un espacio y el host. Para Proton Mail espera 10 mail.protonmail.ch. y 20 mailsec.protonmail.ch.; para Fastmail 10 in1-smtp.messagingengine.com. y 20 in2-smtp.messagingengine.com.; para Mailbox.org cuatro hosts mxext. Aquí aparecen dos problemas. Un registro del proveedor anterior que siga en la lista hace impredecible la entrega, así que elimínelo. Y una respuesta vacía significa que no hay MX: los remitentes recurren entonces al registro de dirección del dominio, como describe la RFC 5321. Qué significa cada línea se explica en [qué es un registro MX](https://postelva.com/es/what-is-an-mx-record/ "What is an MX record?"). ## ¿Cómo compruebo un registro SPF? **Pida los registros TXT de la raíz del dominio y confirme que exactamente una línea empieza por v=spf1.** La raíz contiene también otros registros TXT, como la prueba de titularidad de su proveedor de correo, así que lea la lista entera. Dos líneas que empiecen por v=spf1 son un error: la RFC 7208 devuelve un error permanente cuando un dominio tiene más de un registro SPF. Después cuente las consultas. Cada include, a, mx, ptr y exists, además del modificador redirect, cuenta para el límite de 10, y un include cuenta también lo que está anidado dentro. Un registro que supera el límite falla para todos los remitentes. La creación del registro se detalla en [cómo crear un registro SPF](https://postelva.com/es/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## ¿Cómo compruebo DKIM cuando no conozco el selector? **Use el selector de su proveedor: no se pueden listar los selectores desde el DNS, así que tómelos de la pantalla DKIM del proveedor.** El DNS no permite listar los nombres bajo _domainkey. Los selectores son protonmail, protonmail2 y protonmail3 en Proton Mail, fm1, fm2 y fm3 en Fastmail, y MBO0001 a MBO0004 en Mailbox.org. El nombre de consulta es selector._domainkey.sudominio. Un proveedor que usa registros CNAME, como estos tres, responde con un CNAME a su propio host. Un proveedor que publica la clave directamente responde con un registro TXT que contiene v=DKIM1 y p= seguido de la clave pública. Un p= vacío significa que la clave está revocada. La prueba más sólida es un mensaje real, porque un registro que existe puede seguir sin usarse: envíe un correo a otro proveedor y lea dkim=pass en las cabeceras completas. ## ¿Cómo compruebo un registro DMARC? **Pida el registro TXT en _dmarc.sudominio y confirme una línea que empiece por v=DMARC1 y contenga una política p=.** Si falta p, los receptores tratan la política como none. Si la línea no tiene rua, no se generan informes agregados y la fase de monitorización del [despliegue de DMARC](https://postelva.com/es/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") no le dice nada. Los registros escritos al estilo antiguo aún pueden llevar una etiqueta pct, que la RFC 9989 eliminó. Un subdominio sin registro propio queda bajo la política del dominio superior mediante el recorrido del árbol DNS, con un máximo de ocho consultas. La consulta de un nombre sin registro no devuelve nada, lo que equivale a no tener DMARC. ## ¿Por qué mi consulta sigue mostrando el valor antiguo? **Una caché conserva la respuesta antigua hasta que expira su TTL, y un registro ausente también puede quedar en caché.** El tiempo que tarda un cambio en propagarse es aproximadamente el TTL antiguo del registro en el momento en que lo cambió. Las indicaciones de los fabricantes sitúan un cambio habitual de MX en una a cuatro horas, y hasta 24 a 48 horas en el peor caso. La RFC 2308 añade que las respuestas negativas se almacenan en caché con el TTL del registro SOA de la zona, así que un registro que acaba de crear puede parecer ausente en algunos resolutores. Para saltarse las cachés, consulte al servidor de nombres autoritativo: búsquelo con dig NS y repita la consulta con @ y su nombre, como en el bloque de código anterior. Si el servidor autoritativo muestra el valor nuevo y su resolutor no, espere. Si ninguno lo muestra, el registro no se guardó o el nombre de host es incorrecto, casi siempre porque el editor DNS añadió el dominio por segunda vez. Si el correo sigue sin llegar cuando los registros parecen correctos, vaya a [por qué no llega el correo a un dominio personalizado](https://postelva.com/es/guides/email-not-arriving-custom-domain/ "Why is email not arriving at my custom domain?"). ## ¿Qué herramientas en línea pueden comprobar los registros de correo? **Cualquier consulta DNS en línea o comprobador de autenticación de correo que consulte el DNS público da la misma respuesta que dig, con una presentación más amigable.** Use uno que muestre el texto en bruto del registro, para poder compararlo carácter por carácter con el valor de su proveedor. No pegue datos privados en él: el nombre de dominio es todo lo que necesita. Según el recuento de Postelva del 12 de noviembre de 2026, una configuración completa de Proton Mail requiere 8 registros (1 TXT de verificación, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) y 6 consultas, porque los dos registros MX comparten una consulta y los registros de verificación y SPF comparten la consulta TXT de la raíz. Guarde los seis comandos una vez y vuelva a ejecutarlos tras cada cambio. Los mismos registros se comparan en [SPF, DKIM y DMARC: diferencias](https://postelva.com/es/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). Una regla citable: tras cada cambio de DNS, consulte los cuatro tipos de registro y envíe un mensaje de prueba; un registro es correcto solo cuando la consulta y el mensaje coinciden. ## Comprobación de registros de correo: preguntas ### ¿Por qué dig imprime los valores TXT entre comillas? Las comillas marcan los límites de las cadenas TXT. Un valor de más de 255 caracteres aparece como varias cadenas entre comillas, que los receptores unen sin espacio. ### ¿Funciona dig en Windows? Solo si instala las herramientas de BIND. Windows tiene nslookup integrado, y PowerShell tiene Resolve-DnsName, y ambos leen los mismos registros. ### ¿Cómo puedo ver el resultado de SPF, DKIM y DMARC de un mensaje real? Abra las cabeceras completas de un mensaje recibido. El servidor receptor registra en las cabeceras sus resultados de SPF, DKIM y DMARC, normalmente como pass o fail. ### ¿Cuánto debo esperar antes de decidir que un registro es incorrecto? Espere al menos el TTL que tenía el registro antiguo y luego consulte al servidor de nombres autoritativo. Si ese servidor muestra el valor equivocado, hay que corregir el registro. ### ¿Puedo comprobar registros de un dominio que no es mío? Sí. Los registros DNS son públicos y una consulta solo necesita el nombre. **En resumen** - MX: dig MX example.com +short; compare prioridades y hosts con su proveedor. - SPF: dig TXT example.com +short; exactamente una línea que empiece por v=spf1, como máximo 10 consultas. - DKIM: dig CNAME selector._domainkey.example.com +short, con el selector de su proveedor. - DMARC: dig TXT _dmarc.example.com +short; una línea que empiece por v=DMARC1 con p= y rua=. - Una configuración completa de Proton Mail son 8 registros y 6 consultas. - Consulte al servidor de nombres autoritativo para saltarse las cachés; un cambio tarda aproximadamente el TTL antiguo en propagarse. - Postelva aloja los registros en DNS gratuito; un .com cuesta 12,49 US$/año cada año. ## Fuentes 1. [RFC 5321, Simple Mail Transfer Protocol, sección 5.1](https://www.rfc-editor.org/rfc/rfc5321.html) — RFC Editor (consultado el 2026-11-12) 2. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (consultado el 2026-11-12) 3. [RFC 6376, DKIM Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (consultado el 2026-11-12) 4. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (consultado el 2026-11-12) 5. [RFC 2308, Negative Caching of DNS Queries](https://www.rfc-editor.org/rfc/rfc2308) — RFC Editor (consultado el 2026-11-12) 6. [Cuánto tardan en propagarse los cambios en los registros DNS](https://www.suped.com/knowledge/email-deliverability/technical/how-long-does-it-take-for-dns-record-changes-to-propagate) — Suped (consultado el 2026-11-12) 7. [Dominio personalizado y protección contra suplantación](https://proton.me/support/anti-spoofing-custom-domain) — Proton (consultado el 2026-11-12) --- Postelva: Postelva registra nombres de dominio para correo privado —la dirección que conserva cuando cambia de proveedor—, pagados con criptomonedas y sin KYC: sin documento de identidad, solo un correo verificado por dominio. Lo gestiona DomaineGoat LLC, una empresa registrada en Panamá; los dominios se registran a través de su socio registrador acreditado por ICANN. Un .com cuesta 12,49 US$/año, el mismo precio cada año.