Si tu correo acaba en la carpeta de spam, o simplemente no llega, lo más probable es que el problema no sea el contenido: es que faltan tres registros DNS. Gmail, Outlook y el resto de grandes proveedores han endurecido mucho sus filtros, y hoy un dominio sin SPF, DKIM y DMARC entra en la categoría de sospechoso por defecto.
La buena noticia es que son tres registros de texto, se configuran una vez y funcionan para siempre.
SPF: quién puede enviar en tu nombre
SPF es una lista de servidores autorizados a enviar correo con tu dominio. Cuando un servidor recibe un mensaje que dice venir de tu empresa, consulta tu SPF y comprueba si la dirección de origen está en la lista.
Es un registro TXT sencillo. La parte que suele fallar son las omisiones: la herramienta de facturación que envía las facturas, la plataforma de boletines, el formulario de la web, el CRM. Todo lo que envíe correo con tu dominio debe estar incluido, o esos mensajes fallarán la verificación.
Y una advertencia importante: solo puede existir un registro SPF por dominio. Dos registros SPF no se suman, invalidan la verificación. Si añades un servicio nuevo, se amplía el registro existente, no se crea otro.
DKIM: la firma que demuestra integridad
DKIM añade una firma criptográfica a cada mensaje que sale. El receptor consulta tu clave pública en el DNS y verifica la firma. Si coincide, sabe dos cosas: que el mensaje salió realmente de un servidor autorizado y que nadie lo modificó por el camino.
DKIM tiene una ventaja práctica sobre SPF: sobrevive a los reenvíos. Cuando alguien reenvía tu correo, la dirección de origen cambia y SPF falla, pero la firma DKIM sigue siendo válida. Por eso hay que tener los dos, no uno.
DMARC: la política y, sobre todo, los informes
DMARC le dice al receptor qué hacer cuando SPF y DKIM fallan: nada, cuarentena o rechazo. Pero su función más valiosa es otra: los informes.
Con DMARC configurado recibes informes periódicos de quién está enviando correo con tu dominio. Ahí descubres los servicios legítimos que olvidaste incluir, y también si alguien está suplantando tu marca. Sin esos informes, estás a ciegas.
El orden correcto de despliegue
Este es el punto donde más gente se equivoca. Empezar directamente con una política de rechazo bloquea tu propio correo legítimo, y te enteras cuando un cliente te dice que no recibió el presupuesto.
La secuencia segura es:
- Publica SPF y DKIM y verifica que funcionan enviándote correo a una cuenta externa.
- DMARC en modo none durante dos o tres semanas. No bloquea nada, solo recoge informes.
- Lee los informes e incluye los servicios legítimos que aparezcan y no estuvieran contemplados.
- Sube a quarantine, observa otras dos semanas.
- Y solo entonces, reject.
Este camino tarda un mes y no rompe nada. El atajo tarda un día y rompe tu correo.
Un detalle sobre subdominios
Si no publicas SPF para un subdominio, un atacante puede intentar suplantarlo. Publica registros restrictivos para los subdominios que no envían correo, y usa la política de subdominio de DMARC para cubrir el resto.
Cómo lo resolvemos
En nuestro DNS gestionado el panel te deja publicar y editar estos tres registros sin pelearte con la sintaxis, y como corre sobre red anycast global las consultas se responden rápido desde cualquier parte, que es lo que quieres cuando un servidor receptor está decidiendo si tu correo entra. Si vienes de otro proveedor y no sabes cómo tienes esto, te lo revisamos.