Por qué los correos de su empresa llegan a spam: SPF, DKIM, DMARC y más
Si sus clientes dicen que sus correos llegan a spam, la causa suele estar en el DNS. Así afectan SPF, DKIM, DMARC, DNS inverso y listas negras.
"Revise su carpeta de spam" no debería formar parte de su proceso de ventas. Cuando las facturas, propuestas o mensajes de restablecimiento de contraseña de su dominio llegan a correo no deseado, la causa rara vez es la redacción. Por lo general se trata de registros de autenticación faltantes o mal configurados en el DNS.
Desde 2024, Google y Yahoo exigen que los remitentes masivos tengan SPF, DKIM y DMARC configurados, y Microsoft adoptó requisitos similares. Aunque usted envíe mucho menos que esos volúmenes, los servidores de destino tratan cada vez con más sospecha el correo sin autenticar.
SPF: quién está autorizado a enviar
Sender Policy Framework es un registro TXT que enumera los servidores autorizados a enviar correo en nombre de su dominio.
example.com. IN TXT "v=spf1 include:_spf.google.com include:sendgrid.net -all"
Errores comunes:
- Más de un registro SPF. Solo puede existir uno. Combínelos.
- Demasiadas consultas. SPF permite un máximo de 10 consultas DNS. Cada
includecuenta, y los includes anidados también. - Remitentes olvidados. El formulario de contacto de su sitio web, el CRM, la plataforma de facturación y la fotocopiadora que escanea a correo también envían mensajes. Cada uno debe estar incluido o pasar por un servidor autorizado.
Use -all (rechazo) cuando esté seguro de que la lista está completa, o ~all (rechazo suave) mientras sigue auditando.
DKIM: prueba de que el mensaje no fue alterado
DomainKeys Identified Mail agrega una firma criptográfica a cada mensaje. El servidor que lo recibe la verifica con una clave pública publicada en su DNS.
google._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
Su proveedor de correo genera el par de claves. Usted publica la clave pública y luego activa la firma en el panel de administración del proveedor. Un descuido frecuente es publicar el registro y nunca activar la firma. Cada plataforma externa que envía en nombre de su dominio debería firmar con su propia clave DKIM.
DMARC: la política que une todo
DMARC indica a los servidores receptores qué hacer cuando un mensaje no cumple la alineación de SPF y DKIM, y adónde enviar los informes.
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; fo=1"
Impleméntelo de forma gradual:
- p=none durante algunas semanas. Reciba los informes e identifique a todos los remitentes legítimos.
- p=quarantine cuando el correo legítimo pase de manera consistente.
- p=reject cuando tenga plena confianza. Esto también impide que terceros suplanten su dominio, lo que protege a sus clientes de ataques de phishing que se hacen pasar por usted.
Los informes agregados vienen en formato XML y no son cómodos de leer manualmente. Un analizador de informes DMARC los vuelve útiles.
DNS inverso: importante si administra su propio servidor de correo
Si envía desde su propio servidor, como un hosting con cPanel/WHM o un servidor Exchange local, la IP de envío necesita un registro PTR que resuelva a un nombre de host, y ese nombre debe resolver de vuelta a la misma IP.
dig -x 203.0.113.25 +short
# mail.example.com.
dig mail.example.com +short
# 203.0.113.25
Los registros PTR los configura el dueño del bloque de direcciones IP, normalmente su proveedor de hosting o de internet, no su propia zona DNS. Muchos servidores rechazan directamente el correo proveniente de IP sin un DNS inverso válido.
Listas negras
Si un equipo de su red fue comprometido, o un vecino en un hosting compartido envió spam, su IP puede aparecer en una lista de bloqueo como Spamhaus o Barracuda. Verifique su IP de envío con una herramienta que consulte varias listas a la vez. Si aparece listada:
- Primero encuentre y corrija la causa: un buzón comprometido, un complemento desactualizado en el sitio web, un relay abierto.
- Luego solicite la remoción siguiendo el proceso del operador de la lista.
Pedir la remoción sin corregir la causa de fondo suele terminar en una nueva inclusión en poco tiempo.
Otros factores importantes
- Direcciones de remitente consistentes que coincidan con su dominio autenticado
- Listas de contactos limpias, con baja tasa de rebote y opciones sencillas para darse de baja en los boletines
- TLS habilitado en su servidor de correo
- Dominios o subdominios separados para correo de marketing y correo transaccional, de modo que un problema con una campaña no afecte sus facturas
Una verificación rápida
Envíe un mensaje desde su dominio a una cuenta de Gmail, ábralo y seleccione "Mostrar original". Verá los resultados de SPF, DKIM y DMARC en la parte superior. Los tres deberían indicar PASS. Si alguno no lo hace, ya sabe por dónde empezar.
¿Necesita ayuda?
La autenticación de correo es una de esas tareas que resultan sencillas una vez bien hechas y confusas hasta entonces. Si sus mensajes llegan a spam, o no está seguro de quién envía correo en nombre de su dominio, agende una evaluación de TI gratuita. Revisaremos su DNS, identificaremos a cada remitente y definiremos un plan claro.
