Entregabilidad de correo para pymes: SPF, DKIM y DMARC explicados

Por qué los correos buenos caen en spam

El diseño original del correo electrónico deja que cualquiera ponga cualquier dirección en la línea De — igual que el correo de papel deja que cualquiera escriba cualquier remitente en un sobre. Los spammers y phishers explotan eso constantemente, así que los proveedores de buzones tuvieron que inventar una forma de distinguir a los remitentes autenticados de los impostores. Ese sistema son tres registros DNS — SPF, DKIM, DMARC — publicados en tu dominio. El correo que los pasa es verificablemente tuyo; el que no, desde el punto de vista de Gmail, es indistinguible de una falsificación.

Lo que está en juego cambió materialmente cuando Gmail y Yahoo empezaron a exigir autenticación a los remitentes — SPF o DKIM para todos, y DMARC para remitentes masivos — en vez de solo preferirla. El resultado práctico para una pyme: un dominio sin autenticar ahora falla en silencio. Tu cotización, tu factura, tu recordatorio de cita cae en spam o se rechaza, no recibes ningún error, y concluyes que el cliente te está ignorando. Es una de las fallas silenciosas más dañinas en la operación de un negocio pequeño precisamente porque nada te avisa que está pasando.

Los tres registros, en una tabla

Funcionan como sistema: SPF y DKIM aportan cada uno una prueba de legitimidad; DMARC ata ambas a la dirección De visible (el “alineamiento”) y le dice al mundo qué hacer con las fallas. Cualquiera solo está incompleto — DKIM sin DMARC, por ejemplo, sigue dejando que un phisher envíe correo sin firmar “desde” tu dominio y deja al receptor adivinando.

SPF: la lista de remitentes aprobados

SPF es un registro TXT en tu dominio raíz que lista cada servicio que envía legítimamente como tú. Un registro típico de pyme se ve como v=spf1 include:_spf.google.com include:sendgrid.net -all — “Google Workspace y SendGrid pueden enviar por mí; todo lo demás, rechácenlo”. Los dos errores que explican la mayoría de las fallas de SPF:

• Olvidar un remitente. El formulario de contacto de tu sitio, tu app de facturación, tu CRM, tu herramienta de newsletter — cada uno que envía “desde” tu dominio tiene que estar en el registro, o su correo falla. Inventaria cada sistema que envía correo antes de escribir el registro.
• Publicar dos registros SPF. El estándar exige exactamente uno; un segundo (a menudo dejado por un proveedor viejo) hace que la validación falle como error de sintaxis. Fusiónalos en un solo registro. Y quédate bajo el límite de 10 búsquedas DNS — cada include: cuesta búsquedas, y pasarte de diez rompe el registro entero.

DKIM: el sello a prueba de alteraciones

DKIM hace que tu servidor de correo firme cada mensaje saliente con una llave privada; la llave pública correspondiente se publica en tu DNS, y los receptores verifican la firma. Una firma válida prueba dos cosas a la vez: el correo viene genuinamente de tu dominio, y nadie lo alteró en tránsito. A diferencia de SPF, sobrevive los reenvíos — por eso los proveedores le dan tanto peso.

La configuración depende del proveedor pero siempre tiene la misma forma: tu proveedor de correo (Google Workspace, Microsoft 365, tu propio servidor) genera el par de llaves y te da un registro DNS para publicar — normalmente un TXT o CNAME en algo._domainkey.tudominio.com. Cada servicio de envío recibe su propia llave: tu herramienta de newsletter y tu CRM publican cada uno su propio selector DKIM junto al de tu proveedor principal. Diez minutos por servicio, una sola vez.

DMARC: la política y los reportes

DMARC es un registro TXT en _dmarc.tudominio.com que hace dos cosas: fija tu política para el correo que falla la autenticación, y solicita reportes de los receptores sobre quién está enviando como tu dominio. La política tiene tres niveles, y el camino correcto es subirlos por la escalera:

1. Empieza en p=none — “entrega todo, pero mándame reportes”. Esto no cambia nada de la entrega todavía; enciende la visibilidad. Córrelo dos a cuatro semanas y lee los reportes (un visor gratuito de reportes DMARC hace legible el XML).
2. Arregla lo que los reportes revelen. Casi todo negocio descubre un remitente legítimo olvidado — el sistema de reservas, el escáner-a-correo, la herramienta vieja de newsletter — fallando la autenticación. Agrégalos a SPF/DKIM como corresponde.
3. Sube a p=quarantine, y luego a p=reject una vez el correo legítimo pase limpio. En reject, el correo falsificado que dice ser tuyo se rechaza de plano — lo que protege a tus clientes del phishing enviado a tu nombre y, con el tiempo, la reputación de tu dominio.

Más allá de los registros: quedarse fuera del spam

• Separa tus flujos. Envía los blasts de marketing desde un subdominio (p. ej. news.tudominio.com) para que un pico de quejas del newsletter no envenene la reputación del dominio del que salen tus facturas.
• Calienta los dominios nuevos. Un dominio recién estrenado que de repente envía 5.000 correos se ve exactamente como un spammer. Empieza pequeño y sube durante semanas.
• Listas limpias y consentimiento real. Las tasas altas de rebote y de quejas de spam (el umbral de exigencia de Gmail es una fracción de un uno por ciento) dañan la reputación más rápido de lo que cualquier registro puede reparar.
• Enruta el correo transaccional por infraestructura autenticada. Los formularios de contacto y las confirmaciones de pedido enviados ingenuamente por un servidor web (mail() de PHP, SMTP sin autenticar) están entre las fallas silenciosas más comunes que encontramos — el formulario “funciona” pero la notificación cae en spam. Cablear los formularios a través de un relay bien autenticado es estándar en cada desarrollo que entregamos y en los flujos de automatización que envían correo a tu nombre.

El checklist de configuración

1. Inventaria cada sistema que envía correo como tu dominio: proveedor de correo, formularios del sitio, CRM, facturación, newsletter, reservas, escáneres.
2. Publica UN registro SPF que los cubra todos; borra duplicados; quédate bajo 10 búsquedas.
3. Activa DKIM en tu proveedor de correo y en cada servicio de envío; publica cada llave.
4. Publica DMARC en p=none con una dirección de reportes; espera dos a cuatro semanas.
5. Lee los reportes, arregla los remitentes olvidados que revelen, y sube a quarantine y finalmente a reject.
6. Prueba el resultado: envía a una dirección de Gmail, abre el mensaje, elige “Mostrar original” y confirma que SPF, DKIM y DMARC digan los tres PASS. Herramientas gratuitas como MXToolbox o Learndmarc dan una segunda opinión.
7. Re-revisa cada vez que agregues un servicio de envío — el checklist es vivo, no de una sola vez.

Esta es infraestructura sin glamour, que es exactamente por lo que se omite — y por lo que arreglarla suele ser la hora de mayor retorno en el stack de marketing de una pyme: cada cotización, factura y seguimiento que envíes después de verdad llega. Importa más donde un solo correo perdido es un trabajo perdido: servicios profesionales, oficios y servicios para el hogar, inmobiliarias, clínicas enviando recordatorios de cita. Nosotros corremos nuestra propia infraestructura de correo y configuramos esto como parte del hosting y de los desarrollos de sitios — autenticación de dominio incluida, verificada con envíos de prueba reales, no asumida. Si sospechas que tu correo está desapareciendo en silencio, escríbenos y la auditoría toma un día. También se complementa con los flujos de captura de leads de nuestra guía de automatización — un correo de seguimiento instantáneo solo es instantáneo si aterriza en la bandeja de entrada.