Correo · 12 min de lectura
¿Tus correos acaban en spam? Cómo arreglar los registros SPF, DKIM y DMARC
Por muy profesional que sea la dirección de tu propio dominio, si el servidor del destinatario no confía en ella, el mensaje acaba en la carpeta de spam. La clave de esa confianza son tres registros DNS.
En resumen
- Un registro SPF es un TXT que enumera qué servidores pueden enviar correo en nombre de tu dominio; un dominio solo puede tener un registro SPF.
- DKIM añade una firma cifrada a cada correo enviado; el destinatario la verifica con la clave pública del DNS de tu dominio y sabe que el mensaje no se alteró por el camino.
- Un registro DMARC indica qué hacer con los correos que fallan SPF y DKIM o no coinciden con la dirección del remitente; p=none solo vigila, p=quarantine los manda a spam y p=reject los rechaza.
- Gmail exige los tres (SPF, DKIM y DMARC) a los remitentes de más de 5.000 correos al día; los remitentes más pequeños necesitan al menos SPF o DKIM.
- En el panel de empresa de Heyşirket, la pantalla de configuración del correo revisa estos registros uno por uno; si el dominio está en la infraestructura de Heyşirket, añade los que falten y, si no hay DMARC, empieza con p=none.
Mandaste el presupuesto y el cliente dice que no le llegó nada. Los avisos del formulario de contacto de tu web se quedan en tu propia carpeta de spam. La causa habitual de las dos quejas no suele ser el contenido, sino la configuración DNS de tu dominio. La mayoría de quienes buscan correos que van a spam tienen un registro SPF, DKIM o DMARC que falta o está mal.
En este artículo explicamos qué hace cada uno de los tres registros, cómo leerlos y cuáles son los errores más comunes. Cómo crear desde cero una dirección de correo de empresa lo vimos en cómo configurar el correo de empresa; aquí el tema es que los correos de una dirección que ya existe lleguen bien.
Parte 1 · Causa ¿Por qué los correos van a spam?
El servidor de correo del destinatario se hace la misma pregunta con cada mensaje que llega: ¿este correo viene de verdad del dueño de la dirección del remitente? Un mensaje sin autenticación no se distingue de uno falsificado. Por eso los grandes proveedores de correo mandan a spam los mensajes que no pueden verificar o directamente no los aceptan.
Otras cosas también influyen en la decisión de spam: un dominio nuevo, enviar muchos correos en poco tiempo, la tasa de quejas, los enlaces acortados y los adjuntos sospechosos. Pero si faltan los registros DNS, arreglar lo demás no basta. Este es el primer sitio donde mirar.
| Registro | La pregunta que responde | Analogía |
|---|---|---|
| SPF | ¿Puede este servidor enviar en nombre de este dominio? | La lista autorizada en la puerta |
| DKIM | ¿El mensaje salió de verdad de este dominio y nadie lo cambió por el camino? | El sello del sobre |
| DMARC | ¿Qué debe pasar si fallan los dos anteriores y quién recibe un informe? | Instrucciones para las cartas falsas |
Parte 2 · SPF ¿Qué es un registro SPF y cómo se lee?
SPF (Sender Policy Framework) es un registro TXT que enumera los servidores autorizados a enviar correo en nombre de tu dominio. El servidor que recibe comprueba si el servidor que entrega el mensaje está en esa lista.
v=spf1 include:_spf.example-provider.com ~all
- v=spf1: indica que es un registro SPF. Todo registro SPF empieza así.
- include: incluye la lista de servidores autorizados de otro servicio, por ejemplo la de tu proveedor de correo.
- ~all: marca como «sospechoso» el correo de cualquiera que no esté en la lista. -all significa rechazar directamente; no lo uses hasta estar seguro de todas tus fuentes de envío.
Parte 3 · DKIM ¿Qué es DKIM y para qué sirve?
DKIM (DomainKeys Identified Mail) añade una firma cifrada a cada correo enviado. El servidor que envía firma el mensaje con una clave privada. El destinatario verifica la firma con la clave pública del DNS de tu dominio.
Un registro DKIM está en tu dominio con un nombre como selector._domainkey. El selector es un nombre corto que te da el proveedor, para que distintos servicios puedan tener claves DKIM separadas en el mismo dominio. A diferencia de SPF, la firma se mantiene intacta aunque el correo se reenvíe por otro servidor.
Parte 4 · DMARC ¿Qué es DMARC y con qué política conviene empezar?
DMARC combina los resultados de SPF y DKIM con la dirección del remitente, y dice qué hacer con los correos que fallan. Está en tu dominio como un registro TXT llamado _dmarc.
v=DMARC1; p=none;
| Política | ¿Qué pasa? | ¿Cuándo? |
|---|---|---|
| p=none | No se bloquea ningún correo, solo se vigila | Al principio, mientras conoces todas tus fuentes de envío |
| p=quarantine | Los correos que fallan van a spam | Cuando SPF y DKIM llevan un tiempo funcionando sin problemas |
| p=reject | Los correos que fallan se rechazan | Cuando quieras cortar del todo el correo falsificado |
La idea clave de DMARC es la alineación. No basta con pasar la prueba; el dominio que pasó debe pertenecer al mismo dominio de organización que la dirección de la línea From del correo. Por ejemplo, un correo enviado desde quotes@yoursite.com debe estar firmado para yoursite.com o uno de sus subdominios.
Si añades rua=mailto:... al registro, los grandes proveedores te envían informes agregados que muestran quién envía correo en nombre de tu dominio. Revisarlos unas semanas antes de endurecer la política ayuda a detectar una fuente de envío que se te olvidó, como un servicio de facturación o de boletines.
Parte 5 · Reglas ¿Qué exigen Gmail y los grandes proveedores?
Google publica normas por escrito para quien envía correo a direcciones de Gmail. Todos necesitan al menos SPF o DKIM. Se espera que quien envíe más de 5.000 correos al día tenga los tres (SPF, DKIM y DMARC), con alineación con la dirección From, baja de la lista con un clic y una tasa baja de quejas de spam.
Una pequeña empresa rara vez llega a 5.000 correos al día. Aun así, configurar los tres registros juntos mejora la entrega y dificulta que alguien envíe correos falsos en nombre de tu dominio. Que llegue a tus clientes un correo falso de factura o de cambio de IBAN es un problema mucho más caro que la carpeta de spam.
Parte 6 · Revisiones ¿Cómo revisar los registros SPF, DKIM y DMARC?
Una revisión de cinco minutos
Envíate un correo de prueba
Manda un correo desde tu dirección de empresa a una cuenta de Gmail. Ábrelo en Gmail y elige mostrar original en el menú; las líneas de SPF, DKIM y DMARC deberían decir PASS.
Cuenta tus registros SPF
En el panel de DNS de tu dominio, mira cuántos registros empiezan por «v=spf1». Si hay más de uno, combínalos.
Revisa el nombre del registro DKIM
El nombre del registro tiene que coincidir con el selector que te dio el proveedor. Si el dominio aparece repetido (por ejemplo selector._domainkey.yoursite.com.yoursite.com), corrígelo.
Confirma que existe un registro DMARC
Debería haber un registro TXT llamado _dmarc que empiece por «v=DMARC1». Si no lo hay, empieza con p=none.
Espera a que se propague
Los cambios de DNS suelen propagarse en unos minutos o unas horas. Si no ves resultado de inmediato, espera y vuelve a probar en lugar de borrar y volver a añadir el registro.
Parte 7 · Heyşirket ¿Cómo se configuran estos registros en el panel de empresa de Heyşirket?
En Heyşirket, una casilla de correo en tu propio dominio viene incluida incluso en el plan Starter gratis. La pantalla de configuración de la sección Correo del panel de empresa avanza en tres pasos: método, registros y listo. En el paso del método ves estas rutas según tu dominio: Configuración automática si tu dominio está en la infraestructura de Heyşirket; si no, Dirige tu correo hacia nosotros; en ambos casos, Mantener mi correo actual.
Si tu dominio ya tiene un servicio de correo que funciona, la pantalla lo indica y recomienda configurar sin tocarlo. No se borra ningún registro DNS y tu registro MX que funciona no se cambia.
| Línea | Qué es | Nota |
|---|---|---|
| Firma (DKIM) | Registro DKIM | La firma de los correos que envías |
| Permiso de envío (SPF) | Registro SPF | Se escribe en el subdominio send. de tu dominio; el registro SPF principal no se toca |
| Dirección de retorno | Registro para correos rebotados | El proxy debe estar desactivado |
| Protección contra correo falso (DMARC) | Registro DMARC | Recomendado; no retiene los envíos |
| Bandeja de entrada | MX o reenvío | Según la ruta que elegiste |
Cada línea muestra un estado en vivo: verificada, visible en el DNS y en verificación por el proveedor, registro añadido y propagándose, o registro que hay que añadir en tu panel de DNS. Si tu dominio está en la infraestructura de Heyşirket, el panel añade él mismo los registros que falten. Si no, la pantalla enumera los registros que debes añadir con sus nombres y valores, y vuelve a comprobarlos sola; si no quieres esperar, hay un botón Comprobar ahora.
Si no tienes registro DMARC, el panel crea uno con v=DMARC1; p=none;, que no bloquea nada y solo vigila. No toca un registro DMARC que ya exista. Que los registros de envío vivan en un subdominio también es un detalle importante: si usas otro servicio de correo en tu dominio, no caerás en la trampa de crear dos registros SPF separados para dos servicios.
Si todavía no conectaste tu dominio al panel de empresa, primero sigue conectar tu propio dominio; hay un resumen en la página conectar un dominio. Los límites de casillas y direcciones por plan están en la página de correo de empresa. Si te atascas con el DNS, hay una guía paso a paso en el panel: Ayuda › Solución de problemas del dominio.
¿Qué es un registro SPF?
Un registro SPF es un registro TXT de DNS que enumera qué servidores pueden enviar correo en nombre de tu dominio. Empieza por «v=spf1». El servidor que recibe comprueba si el que entrega el mensaje está en la lista. Un dominio solo puede tener un registro SPF.
¿Qué es DKIM y en qué se diferencia de SPF?
DKIM añade una firma cifrada a cada correo enviado, y el destinatario la verifica con la clave pública del DNS de tu dominio. SPF comprueba el servidor que envía, mientras que DKIM verifica el mensaje en sí; la firma sigue siendo válida aunque el correo se reenvíe por otro servidor.
¿Puedo enviar correo sin registro DMARC?
Puedes, pero no se recomienda. Gmail exige un registro DMARC a quienes envían más de 5.000 correos al día. Incluso con remitentes más pequeños, DMARC dificulta que alguien envíe correo falso en nombre de tu dominio. Una política p=none basta para empezar; no bloquea nada.
Mis correos van a spam. ¿Qué reviso primero?
Envía un correo de prueba a una cuenta de Gmail y mira los resultados de SPF, DKIM y DMARC en el mensaje original. Si alguno no dice PASS, el problema está en el DNS. Luego comprueba si el dominio tiene más de un registro SPF, si el nombre del registro DKIM es correcto y si los registros de correo están detrás de un proxy.
¿Cuándo debo pasar DMARC a p=reject?
Empieza con p=none y revisa los informes durante unas semanas para asegurarte de que cada servicio que envía en nombre de tu dominio pasa SPF y DKIM. Después pasa a p=quarantine y, si nada se rompe, a p=reject. Endurecer demasiado rápido puede hacer que se rechacen tus propias facturas o boletines.
¿Heyşirket añade estos registros por mí?
Si tu dominio está en la infraestructura de Heyşirket, el panel añade los registros de envío que falten y el registro DMARC; nunca borra un registro. Si tu dominio se administra en otro panel de DNS, la pantalla de configuración enumera los registros que debes añadir con sus nombres y valores, y los verifica uno por uno a medida que los añades.
Revisa tus registros de correo Abre la pantalla de configuración para ver el estado de SPF, DKIM y DMARC línea por línea y completa cualquier registro que falte. Abrir configuración del correo
Autor: Equipo editorial de Heyşirket