Cloudflare Email Routing y DMARC Management: qué hacen por su empresa

Cloudflare ofrece dos herramientas de correo de las que muchas pequeñas empresas oyen hablar: Email Routing, que reenvía el correo dirigido a direcciones de su dominio (como info@ o cotizaciones@) a buzones que usted ya tiene, y DMARC Management, que reúne los informes que muestran quién envía correo usando el nombre de su dominio. Ambas están disponibles en todos los planes de Cloudflare, incluido el Free, siempre que su dominio use el DNS de Cloudflare. Lo importante desde el principio: Email Routing es reenvío, no un buzón. No almacena correo, no le da una bandeja de entrada a la que iniciar sesión y no puede compartir un dominio con Microsoft 365 o Google Workspace. Esta guía explica qué hace cada herramienta, dónde encaja y dónde no.

Email Routing: qué es

Email Routing recibe el correo de su dominio y lo pasa a otro destino. Usted crea reglas de enrutamiento, cada una de las cuales asocia una dirección de su dominio con una acción:

• Send to an email: reenvía el mensaje a una dirección de destino (por ejemplo, un buzón de Gmail u Outlook).
• Send to a Worker: entrega el mensaje a un Cloudflare Worker, para desarrolladores que quieren procesar el correo con código.
• Drop: elimina los mensajes que coinciden sin entregarlos.

La documentación de Cloudflare indica estos límites prácticos:

Elemento	Límite
Reglas de enrutamiento por dominio	200
Direcciones de destino por cuenta	200, compartidas entre todos los dominios
Tamaño del mensaje entrante	25 MiB; los mensajes más grandes se rechazan
Destinos por regla	Uno (para más se necesita un Worker)

Las direcciones de destino deben verificarse: Cloudflare envía un enlace de verificación por correo, y toda regla que apunte a esa dirección permanece desactivada hasta que alguien haga clic en él.

Catch-all y direcciones con "+"

• Regla catch-all: cuando está activada, cualquier dirección de su dominio que no tenga su propia regla la maneja el catch-all, incluidos errores de escritura como ifno@ en lugar de info@. Es práctico, pero también significa que le llegará el spam enviado a direcciones inventadas al azar. Muchas empresas dejan el catch-all desactivado, o lo configuran en Drop, una vez que definen sus direcciones reales.
• Subdirecciones: Email Routing admite direcciones con "+" según el RFC 5233 (se activa en la configuración de Email Routing). El correo a [email protected] coincide con la regla de ventas@, lo cual es útil para saber de qué formulario o evento proviene un mensaje.

Lo que Email Routing no hace

• No es un buzón. No hay bandeja de entrada, almacenamiento, calendario ni correo web. Los mensajes llegan al buzón al que usted los reenvíe.
• No envía sus respuestas. Cuando responde un mensaje reenviado desde Gmail u Outlook, la respuesta sale desde la dirección de ese buzón, salvo que configure ese proveedor por separado para enviar como su dominio. Email Routing solo maneja el correo entrante.
• No puede convivir con otro servidor de correo en el mismo dominio. La documentación de configuración de dominios de Cloudflare indica que Email Routing requiere los registros MX de Cloudflare en el dominio raíz y que no se puede usar Email Routing con servidores de correo externos. Si sus registros MX apuntan a Microsoft 365 o Google Workspace, activar Email Routing en ese dominio les quitaría el correo.
• No es un filtro de seguridad. Cloudflare sí rechaza el correo entrante que no cumple la política DMARC del remitente, el correo que falla tanto SPF como DKIM y los remitentes que figuran en listas de bloqueo, pero no sustituye la protección contra spam y phishing de una plataforma de correo completa.

En la parte técnica, Cloudflare reescribe el remitente del sobre de los mensajes reenviados (Sender Rewriting Scheme), agrega firmas DKIM y admite ARC para que el buzón de destino pueda seguir evaluando la autenticación del correo reenviado. El encabezado visible From: no se modifica.

Dónde encaja Email Routing en una empresa

Como toma el control de los registros MX del dominio, Email Routing es ideal para dominios que no tienen buzones propios:

• Dominios secundarios y de marca. Si además de su dominio principal tiene sumarca.net o un dominio de campaña, Email Routing puede reenviar [email protected] a un buzón real en lugar de dejar que ese correo rebote.
• Un dominio anterior tras un cambio de marca. Siga recibiendo el correo enviado a las direcciones antiguas mientras sus clientes actualizan sus contactos.
• Configuraciones muy pequeñas antes de una plataforma de correo completa. Un profesional independiente puede recibir correo en una dirección profesional mientras elige una plataforma, sabiendo que para enviar como esa dirección necesitará un proveedor real.

Para su dominio principal, donde el personal necesita buzones, calendarios compartidos, retención y controles de seguridad, una plataforma como Microsoft 365 o Google Workspace sigue siendo la herramienta adecuada. Nuestra página de correo empresarial explica cómo las configuramos.

Cómo configurarlo

Según la documentación actual de Cloudflare, los pasos son:

1. En el panel de Cloudflare, vaya a Compute > Email Service > Email Routing y seleccione Onboard Domain. (Cloudflare reorganizó este menú recientemente, así que los nombres pueden variar un poco en su cuenta.)
2. Elija el dominio y revise los registros que Cloudflare agregará: registros MX, un registro TXT de SPF y un registro TXT de DKIM en el dominio raíz.
3. En Destination Addresses, agregue cada buzón al que reenviará y haga clic en el enlace de verificación que recibirá.
4. Cree una regla de enrutamiento para cada dirección y decida qué hacer con el catch-all.
5. Haga la prueba desde una cuenta distinta a la de destino, ya que algunos proveedores descartan los mensajes que parecen venir de la propia dirección del destinatario.

Para cambiar de servicio más adelante, Cloudflare recomienda desbloquear los registros de enrutamiento y agregar los del nuevo proveedor antes de desactivar Email Routing, porque al desactivarlo se eliminan los registros MX, SPF y DKIM que creó.

¿Y para enviar? Cloudflare Email Sending

En abril de 2026, Cloudflare anunció que Email Sending pasó a beta pública y se unió a Email Routing dentro de un producto que ahora se llama Cloudflare Email Service. Permite a los desarrolladores enviar correo transaccional (restablecimiento de contraseñas, recibos, notificaciones) desde Cloudflare Workers o una API REST. Según el registro de cambios de Cloudflare, requiere el plan Workers Paid, y la página de límites indica que las cuentas nuevas empiezan con cuotas diarias de envío bajas que aumentan con el tiempo.

Para la mayoría de las empresas, es una herramienta de desarrollo para aplicaciones, no una forma de darles a los empleados una bandeja de salida. No ofrece buzones y está en beta, así que no construiríamos procesos críticos sobre ella sin probarla.

DMARC Management: quién envía correo como su dominio

DMARC es el registro DNS que indica a los servidores receptores qué hacer con los mensajes que no pasan las comprobaciones SPF y DKIM, y les pide que le envíen informes agregados. Esos informes son archivos XML difíciles de leer a mano. Ya tratamos los registros en sí en por qué los correos de su empresa llegan a spam; DMARC Management es una forma de leer los informes.

Datos clave de la documentación de Cloudflare:

• Disponible en todos los planes para dominios que usan el DNS de Cloudflare.
• Funciona con cualquier proveedor de correo. Solo lee informes, así que sus buzones pueden seguir en Microsoft 365, Google Workspace o cualquier otro servicio. Esta es la parte que la mayoría de las empresas puede usar en su dominio principal.
• Solo dominios raíz. No admite subdominios.
• Cómo se activa: vaya a Email > DMARC Management y seleccione Enable DMARC Management. Si no tiene un registro DMARC, Cloudflare le ofrece agregar uno. Si ya lo tiene, agrega una dirección rua adicional para que los informes lleguen a Cloudflare además de a cualquier dirección que ya use.
• Requiere tiempo. Cloudflare indica que el primer informe puede tardar hasta 24 horas en llegar.
• Figura como beta en la documentación de Cloudflare.

Cómo usar los informes

1. Deje que los informes se acumulen durante unas semanas.
2. Revise cada fuente de envío que aparece y sus resultados de SPF, DKIM y DMARC.
3. Para cada servicio legítimo (su plataforma de correo, CRM, software de facturación, herramienta de boletines), corrija su include de SPF o su clave DKIM hasta que pase.
4. Investigue las fuentes que no reconozca; pueden ser herramientas olvidadas o alguien suplantando su dominio.
5. Solo cuando el correo legítimo pase de forma constante, cambie su política DMARC de p=none a p=quarantine y luego a p=reject.

Este último paso es el que protege a sus clientes de los correos que se hacen pasar por usted, un punto de partida habitual del phishing (vea nuestra guía de señales de phishing).

Cómo encaja todo con Microsoft 365 o Google Workspace

Dominio	Buzones	Email Routing	DMARC Management
Dominio principal de la empresa	Microsoft 365 / Google Workspace	No (los registros MX pertenecen a su plataforma de correo)	Sí, si el DNS está en Cloudflare
Dominios de marca, de campaña o antiguos sin buzones	Ninguno	Sí, reenviar a buzones reales	Sí, y publique una política DMARC estricta si el dominio nunca envía correo

Configúrelo correctamente

Core Florida IT es un proveedor de IT independiente, no un socio de Cloudflare. Configuramos DNS, autenticación de correo y reenvíos para empresas que usan Microsoft 365 y Google Workspace como parte de nuestro soporte de IT administrado. Si no está seguro de quién envía correo como su dominio, o sus mensajes siguen llegando a spam, solicite una evaluación de IT gratuita para su empresa en Miami-Dade o el sur de Florida.

Fuentes

• Cloudflare Email Routing overview (Cloudflare Docs)
• Enable Email Routing (Cloudflare Docs)
• Email routing addresses, catch-all and subaddressing (Cloudflare Docs)
• Email Service limits (Cloudflare Docs)
• Email Service domain configuration (Cloudflare Docs)
• Postmaster information (Cloudflare Docs)
• Email Sending is now in public beta (registro de cambios de Cloudflare)
• DMARC Management (Cloudflare Docs)
• Enable DMARC Management (Cloudflare Docs)