Uno de los problemas más comunes que vemos en pequeñas y medianas empresas es que sus correos de facturas, cotizaciones o notificaciones terminan en la carpeta de spam del cliente. Casi nunca es culpa del contenido del mensaje: en la mayoría de los casos el dominio no tiene configurados los tres registros que Gmail, Outlook y Yahoo revisan para decidir si un correo es legítimo. Esos registros son SPF, DKIM y DMARC.
Por qué importa ahora más que antes
Desde 2024, Google y Yahoo exigen que quienes envían correos de forma masiva tengan autenticado su dominio. Aunque tu empresa no envíe miles de mensajes, los filtros aplican criterios parecidos a todos los remitentes: un dominio sin autenticación se trata con desconfianza. Además, sin estos registros cualquier persona puede enviar correos haciéndose pasar por tu empresa, algo muy usado en fraudes de "cambio de cuenta bancaria" a proveedores.
SPF: quién puede enviar en tu nombre
SPF (Sender Policy Framework) es un registro TXT en el DNS de tu dominio que enumera los servidores autorizados para enviar correo con tu dirección. Cuando un servidor recibe un mensaje de ventas@tuempresa.com, consulta ese registro y verifica que la IP de origen esté en la lista.
Un ejemplo típico para una empresa que usa Google Workspace y además envía notificaciones desde su propio servidor sería:
v=spf1 include:_spf.google.com ip4:203.0.113.10 ~allinclude:delega en la lista de servidores del proveedor de correo.ip4:autoriza una IP concreta, por ejemplo la de tu servidor de aplicaciones.~allindica que lo demás es sospechoso (falla suave). Cuando todo esté probado puedes pasar a-all.
Dos errores frecuentes: tener dos registros SPF (solo puede existir uno; hay que combinarlos) y superar el límite de 10 consultas DNS que imponen los include anidados.
DKIM: la firma del mensaje
DKIM (DomainKeys Identified Mail) agrega una firma digital a cada correo. Tu proveedor firma el mensaje con una clave privada y publica la clave pública en tu DNS, en un registro TXT con un "selector", por ejemplo google._domainkey.tuempresa.com. El servidor que recibe el correo usa esa clave pública para comprobar que el mensaje no fue alterado y que realmente salió de un servidor autorizado por tu dominio.
La clave la genera el proveedor (Google Workspace, Microsoft 365, el panel de tu hosting o tu servidor SMTP). Tu trabajo es copiarla exactamente en el DNS y activar la firma en el panel del proveedor. Si envías desde varios servicios, cada uno tendrá su propio selector.
DMARC: qué hacer cuando algo falla
DMARC une a los dos anteriores y le dice al mundo qué hacer con los correos que no pasan las verificaciones. También te permite recibir reportes de quién está enviando correo con tu dominio. Se publica como TXT en _dmarc.tuempresa.com:
v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.com; adkim=r; aspf=rRecomendamos avanzar por etapas:
- p=none durante dos o cuatro semanas: no bloquea nada, solo genera reportes. Sirve para descubrir servicios que envían en tu nombre y que olvidaste (la plataforma de facturación, el CRM, el formulario de la página web).
- p=quarantine cuando los reportes muestren que todo lo legítimo pasa: lo que falle irá a spam.
- p=reject como objetivo final: los correos falsificados se rechazan.
Cómo comprobar que quedó bien
Envía un correo a una cuenta de Gmail, ábrelo y elige "Mostrar original". Deberías ver SPF: PASS, DKIM: PASS y DMARC: PASS. Si alguno falla, el mismo encabezado explica el motivo. Ten en cuenta que los cambios de DNS pueden tardar desde unos minutos hasta algunas horas en propagarse.
Lista de verificación
- Un único registro SPF que incluya todos los servicios que envían correo.
- DKIM activado en cada proveedor, con su selector publicado.
- DMARC publicado, empezando en
p=noney con un buzón para reportes. - Registro PTR (DNS inverso) correcto si tienes servidor de correo propio.
- Revisión de los reportes antes de endurecer la política.
Configurar estos registros toma menos de una hora cuando se sabe qué buscar, y la diferencia en entregabilidad es inmediata. Si necesitas ayuda con el DNS de tu dominio, en Yerztechnology lo hacemos como parte de nuestros planes de hosting y correo corporativo.