5 herramientas gratis para auditar la seguridad de tu dominio (correo, DNS y SSL)

La seguridad de tu dominio —que tus correos lleguen, que nadie te suplante y que tu web dé confianza— se puede auditar entera en unos 10 minutos con herramientas gratuitas, sin instalar nada ni crear una cuenta. Tengo cinco en ortamarco.me (el informe de salud del dominio, el auditor de correo, el comprobador de DKIM, WHOIS y las cabeceras de seguridad) y en esta guía te enseño a usarlas en orden.

Si quieres el porqué a fondo de cada protocolo, lo tienes en mi guía de cómo auditar el correo y la seguridad de tu dominio paso a paso. Aquí vamos a lo práctico: qué herramienta abrir, qué te dice cada resultado y qué hacer con él. SPF, DMARC y DNSSEC ya no tienen herramienta propia: los comprueba el informe de salud del dominio, y abajo te cuento qué detecta de cada uno.

Todas funcionan en el navegador, no piden API key ni registro y no guardan lo que consultas.

Actualización de octubre de 2026. Los comprobadores sueltos de SPF, DMARC, DNSSEC, CAA, MTA-STS, TLS-RPT y BIMI se fundieron en una sola consulta: el Informe de Salud del Dominio audita DNS, correo, TLS y cabeceras a la vez y devuelve la lista ordenada de qué arreglar primero. Si vienes a auditar un dominio completo, o a revisar uno antes de comprarlo, empieza por ahí y usa esta guía para entender cada resultado.

Empieza por aquí: el Auditor de Correo

Si solo vas a usar una herramienta, que sea esta. El Auditor de Correo (SPF, DKIM, DMARC) revisa los tres protocolos de autenticación de una sola vez y te devuelve una calificación de la A a la F con una lista de recomendaciones priorizadas.

Es la forma más rápida de saber si tu dominio está en riesgo. La nota se calcula sobre 100 penalizando lo que de verdad rompe la entregabilidad:

💡 Ejemplo real. Cuando lancé estas herramientas, las probé contra mi propio dominio… y ortamarco.me sacó una F (55/100): tenía SPF, pero le faltaba el registro DMARC. Publiqué un DMARC en p=none y subió a C (70/100) en minutos. La auditoría no es teoría: a casi todos los dominios les falta algo.

Una vez tengas la nota general, usa las herramientas individuales para entrar en el detalle de lo que el auditor marcó en rojo.

SPF: ¿quién puede enviar en tu nombre?

El Informe de Salud del Dominio analiza el registro v=spf1 de tu dominio y te avisa de los problemas más comunes que el ojo no ve. Te dice qué falla y cómo arreglarlo; no te enseña el registro en bruto (para verlo, usa la Consulta DNS). Esto es lo que hay que revisar:

• El calificador final. -all (hardfail) es lo ideal; ~all (softfail) es aceptable; ?all no protege y +all es un agujero de seguridad.
• El límite de 10 búsquedas DNS. Esto es lo que casi nadie revisa: si encadenas demasiados include:, SPF supera el límite del RFC 7208 y deja de validar por completo (permerror). El informe cuenta las búsquedas entrando en cada include y te avisa cuando te pasas, pero no te muestra el número exacto mientras estés bajo el límite.

También marca los dos casos graves: que no haya SPF y que tengas dos registros v=spf1, porque solo puede existir uno.

DMARC: la política que decide qué pasa

El informe de salud del dominio lee el registro de _dmarc.tudominio.com y señala tres cosas: si no existe, si estás solo monitoreando (p=none) y si falta rua=, es decir, si no recibes reportes. No evalúa el porcentaje (pct=) ni te muestra el registro completo; para eso lee el TXT con la Consulta DNS.

El error más habitual es quedarse para siempre en p=none. Esa política reporta pero no protege: cualquiera puede seguir suplantándote. La meta es subir por etapas hasta p=reject:

p=none  →  p=quarantine  →  p=reject
(monitorea)   (a spam)       (bloquea)

Empieza en none, lee los reportes una o dos semanas, autentica a todos tus proveedores de envío y solo entonces endurece. Saltar directo a reject bloquea tu propio correo.

Comprobar DKIM: la firma criptográfica

DKIM es el más esquivo de los tres, porque su clave vive bajo un selector que define tu proveedor y no se puede adivinar. Auditor de correo resuelve esto de dos formas:

• Si conoces tu selector (te lo da tu proveedor: google, zmail, k1…), lo escribes y obtienes una respuesta definitiva.
• Si no lo conoces, la herramienta prueba una lista de selectores comunes de los proveedores más usados.

Ojo con esto: si la búsqueda automática no encuentra nada, no significa que no tengas DKIM —puede que uses un selector propio—. Por eso, ante la duda, pregúntale el selector a tu proveedor y compruébalo a mano.

Más allá del correo: dominio, DNS y web

La seguridad no termina en el email. Estas tres comprobaciones cubren el resto de la superficie.

Consulta WHOIS: no dejes que tu dominio caduque

Consulta WHOIS te muestra quién registró el dominio, cuándo expira, el registrador y los servidores DNS. El uso más valioso es defensivo: apunta la fecha de expiración en tu calendario. Cada año hay empresas que pierden su dominio —y con él su web y su correo— simplemente porque se les olvidó renovarlo.

DNSSEC y CAA: DNS a prueba de falsificación

El informe de salud del dominio verifica si tu dominio firma criptográficamente sus respuestas DNS. Sin DNSSEC, un atacante podría falsificar a dónde apunta tu dominio (envenenamiento de caché) y redirigir tu correo o tu web. El informe distingue entre «no está activo» y «está firmado pero la cadena de confianza no valida», que es el caso peligroso. De paso avisa si falta el registro CAA, que declara qué autoridades pueden emitir certificados para tu dominio. Tampoco aquí muestra los registros DS/DNSKEY ni el CAA en bruto: solo el veredicto. Si tu registrador lo soporta, activarlo es de las mejoras de seguridad con mejor relación esfuerzo/beneficio.

Cabeceras de Seguridad HTTP: el blindaje del navegador

El informe de salud del dominio analiza las cabeceras HTTP de tu web (HSTS, Content-Security-Policy, X-Frame-Options y más) y te da una calificación A–F con las que faltan. Son la primera línea de defensa contra clickjacking, inyección de contenido y ataques de degradación a HTTP. La mayoría de los sitios suspenden aquí sin saberlo.

El orden recomendado: tu auditoría en 10 minutos

Esta es la secuencia que sigo. Hazla de arriba a abajo (son cinco herramientas; el informe cubre varios de los puntos):

1. Auditor de Correo → tu nota general y la lista de qué arreglar.
2. Informe de Salud del Dominio → SPF único y sin +all, DMARC con rua= y plan para subir la política, DNSSEC y CAA, certificado y cabeceras; sin hallazgos críticos.
3. Auditor de correo → la clave de tu selector resuelve.
4. Consulta WHOIS → anota la fecha de expiración.
5. Informe de salud del dominio → sube la nota de tu web.

Si todo sale en verde, tu dominio está blindado. Si alguno falla, ya sabes exactamente qué pedirle a tu proveedor o a tu desarrollador. ¿Necesitas repasar qué es cada registro DNS antes de empezar? Tengo una guía sobre los tipos de registros DNS y cómo se propagan.

Por qué importa en 2026

Desde 2024, Google y Yahoo rechazan o mandan a spam el correo de los dominios que no se autentican, y en 2026 la exigencia es total para cualquiera que envíe correo. Una cotización que cae en spam es una venta perdida; un dominio suplantado es un problema de reputación. Lo bueno es que auditarlo —y arreglarlo— está al alcance de cualquiera con las herramientas correctas y diez minutos.

Si haces la auditoría y algo no cuadra, o prefieres que alguien deje tu dominio, tu correo y tu sitio blindados de una vez, puedo ayudarte: échale un ojo a mi servicio de desarrollo web o, si lo tuyo es ordenar la infraestructura de tu operación, a los sistemas a medida.

Preguntas frecuentes

¿Necesito instalar algo o registrarme para usar estas herramientas?

No. Todas funcionan directamente en el navegador, son gratuitas, no requieren cuenta ni API key y no guardan los dominios que consultas. Solo escribes el dominio y obtienes el resultado al instante.

¿Para qué sirve el Auditor de Correo si ya hay un informe de dominio y un comprobador de DKIM?

El Auditor de Correo revisa SPF, DKIM y DMARC de una sola vez y te da una nota general de la A a la F con recomendaciones priorizadas: es ideal para un diagnóstico rápido. El informe de salud del dominio amplía el análisis a DNSSEC, CAA, MTA-STS, TLS-RPT, BIMI, certificado y cabeceras, y el comprobador de DKIM sirve cuando conoces tu selector.

¿Qué calificación es una buena nota en el Auditor de Correo?

Una A o una B significan que tu dominio está autenticado y protegido. Una C o D indican que funciona pero le faltan piezas, lo más típico es tener DMARC en p=none o no tener DKIM detectable. Una F significa que no hay protección real y tu dominio está expuesto a spam y suplantación.

La herramienta de DKIM no encontró nada, ¿significa que no tengo DKIM?

No necesariamente. DKIM usa un selector que define tu proveedor y no se puede adivinar. La búsqueda automática prueba selectores comunes, pero si usas uno propio no aparecerá. Pregunta a tu proveedor de correo cuál es tu selector e introdúcelo en la herramienta para una comprobación definitiva.

¿Qué es DNSSEC y necesito activarlo?

DNSSEC firma criptográficamente las respuestas DNS de tu dominio para que nadie pueda falsificar a dónde apunta (envenenamiento de caché). No es obligatorio, pero es una de las mejoras de seguridad con mejor relación esfuerzo/beneficio: si tu registrador lo soporta, activarlo protege tu correo y tu web frente a redirecciones maliciosas.

¿Cuánto tardo en auditar mi dominio? Unos 10 minutos siguiendo el orden: primero el Auditor de Correo para la nota general, y luego el informe de salud del dominio y el comprobador de DKIM para el detalle.

¿Tengo que registrarme? No: son gratuitas, sin cuenta y sin API key, y no guardan lo que consultas.

¿Ya auditaste tu dominio? Cuéntame qué nota te salió en el Auditor de Correo.