Un cliente dice que el correo para restablecer la contraseña nunca llegó. Un proveedor encuentra tu factura en la carpeta de spam. Muchas veces el mensaje se envió bien; el servidor que lo recibió simplemente no pudo confirmar que de verdad venía de ti.
Gmail, Outlook y otros proveedores revisan tres registros DNS de tu dominio antes de confiar en un mensaje: SPF, DKIM y DMARC. Que falten o estén mal configurados es una de las causas más comunes de que el correo legítimo de una empresa acabe en spam, y también una de las más fáciles de corregir.
Qué hace cada registro
SPF enumera los servidores que pueden enviar correo en nombre de tu dominio. Es un único registro TXT que empieza por v=spf1.
DKIM añade una firma a cada mensaje. El servidor que lo recibe la comprueba con una clave pública publicada en tu DNS, lo que demuestra que el mensaje no se alteró y que lo envió alguien que tiene tu clave.
DMARC indica a los receptores qué hacer cuando un mensaje no pasa esas comprobaciones y adónde enviar informes sobre ello. Además, exige que el dominio que la gente ve en el remitente coincida con el dominio que verificaron SPF o DKIM.
Piensa en SPF como la lista de invitados, en DKIM como la firma de la carta y en DMARC como la instrucción al portero sobre qué hacer con quien falla en ambas.
Por qué importa más que antes
Gmail ya exige a todos los remitentes configurar SPF o DKIM, y quien envía más de 5.000 mensajes al día a direcciones de Gmail necesita SPF, DKIM y DMARC, con el dominio del remitente alineado. Lasdirectrices para remitentes de Google recogen todos los requisitos, incluida una tasa de spam inferior al 0,3 %. Otros grandes proveedores aplican reglas parecidas.
Los remitentes pequeños no se libran del filtrado. Un dominio sin estos registros simplemente tiene menos a su favor cuando un filtro toma una decisión.
Los errores que más veo
Dos registros SPF
Un dominio solo puede tener un registro SPF. Si creas uno nuevo para otro servicio en lugar de añadirlo al primero, SPF falla para todo. La solución es un único registro que incluya todos los servicios que envían correo.
Demasiadas consultas
SPF admite como máximo 10 consultas DNS durante su evaluación. Cada include de un proveedor de correo, un CRM o una herramienta de newsletters usa al menos una, y algunos usan varias. Si se supera el límite, SPF devuelve un error aunque todos los servicios estén en la lista.
Un servicio que envía en tu nombre sin DKIM
Tu web, tu sistema de reservas o tu herramienta de facturación pueden enviar correo con tu dirección. Si ese servicio no está en SPF y no firma con DKIM para tu dominio, sus mensajes fallan. Cada servicio tiene sus propios pasos de configuración, normalmente unos cuantos registros DNS que copiar.
Un DMARC que nadie lee
Un registro DMARC con p=none y una dirección para informes es un buen comienzo. Solo sirve si alguien lee los informes, encuentra los servicios que fallan, los corrige y después cambia la política a quarantine o reject.
Revisa tu dominio en un minuto
Micomprobación gratuita de entregabilidad de correo lee tu DNS en tiempo real y muestra tu proveedor de correo, tu registro SPF y su número de consultas, los selectores DKIM que encuentra, tu política DMARC y sus informes, MTA-STS, los informes TLS y si el dominio aparece en listas de bloqueo habituales. Cada resultado viene con una explicación sencilla de qué cambiar.
No puede ver dentro de tu buzón ni del filtro de spam de un destinatario. El contenido, el volumen de envío y las quejas también influyen en la entrega. La autenticación es la parte que controlas desde el DNS, así que es el lugar adecuado para empezar.
Un orden seguro para corregirlo
Haz una lista de todos los servicios que envían correo con tu dominio: tu proveedor de buzón, la web, la tienda, la herramienta de reservas, la newsletter y la facturación.
Combínalos en un único registro SPF y mantenlo por debajo del límite de consultas.
Activa DKIM en cada servicio y publica los registros que te indique.
Publica DMARC con p=none y una dirección para informes, y lee los informes durante unas semanas.
Cuando el correo legítimo pase las comprobaciones, cambia DMARC a quarantine y después a reject.
Cambiar estos registros sin cuidado puede cortar el correo de todo el dominio, así que haz un cambio cada vez y comprueba después de cada paso.
Cuándo pedir ayuda
Si la comprobación muestra varios problemas o no tienes claro qué servicios envían en tu nombre,envíame el dominio y los servicios que usas. Puedo preparar los registros y el orden en que cambiarlos, y configurar el envío de una aplicación para que sus correos pasen estas comprobaciones desde el principio.