SPF, DKIM y DMARC: por qué tus correos llegan a spam y cómo arreglarlo

Si tus clientes te dicen que tus correos les llegan a spam, o que no les llegan, casi siempre el problema está en la autenticación del dominio. Gmail, Outlook y la mayoría de los proveedores revisan tres registros DNS antes de decidir si confían en un correo: SPF, DKIM y DMARC. Desde 2024, Gmail y Yahoo exigen que todo remitente tenga al menos SPF o DKIM, y que quien envía grandes volúmenes tenga los tres.

SPF: quién puede enviar en nombre de tu dominio

SPF es un registro TXT en tu dominio con la lista de servidores autorizados a enviar correo como @tuempresa.cl. El servidor que recibe compara la IP de quien le entrega el correo con esa lista.

v=spf1 mx include:_spf.google.com -all

Se lee así: pueden enviar los servidores del registro MX y los de Google; cualquier otro, rechazado (-all). Si usas ~all el resultado es un "fallo suave", que no protege tanto.

Errores comunes con SPF

• Dos registros SPF en el mismo dominio. Solo puede haber uno; con dos, ambos se invalidan. Si agregas un proveedor, súmalo al registro existente.
• Más de 10 consultas DNS. Cada include, mx o a cuenta. Al pasar de 10 el SPF falla entero.
• Olvidar a un remitente. El sistema de facturación, la tienda o la herramienta de boletines también envían como tu dominio y tienen que estar en la lista.

DKIM: una firma que prueba que el correo no fue alterado

Con DKIM, tu servidor firma cada correo con una llave privada. La llave pública se publica en tu DNS bajo un selector, y quien recibe la usa para verificar la firma. Si alguien modifica el mensaje en el camino, o lo envía sin tu llave, la firma no calza.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…

Errores comunes con DKIM

• El servidor no firma. Publicar la llave no basta: el servidor de correo tiene que estar configurado para firmar con ella.
• Selector equivocado. El nombre del registro (selector1 en el ejemplo) debe coincidir con el que usa el servidor al firmar.
• Llaves cortas. Usa llaves de 2048 bits; las de 1024 ya se consideran débiles.

DMARC: qué hacer cuando algo falla

DMARC une SPF y DKIM con el dominio que ve el destinatario en el campo "De". Le dice al servidor que recibe qué hacer con un correo que dice venir de tu dominio pero no pasa la verificación, y a dónde enviarte informes.

v=DMARC1; p=quarantine; rua=mailto:[email protected]

La política p tiene tres niveles: none (solo informar), quarantine (mandar a spam) y reject (rechazar). Lo sano es partir en none, leer los informes unas semanas para descubrir todos tus remitentes legítimos y subir después a quarantine o reject. Un DMARC en none para siempre no protege a nadie de quien se hace pasar por tu empresa.

Lo que no es SPF, DKIM ni DMARC, pero también importa

• DNS inverso (PTR). La IP de tu servidor de correo debe resolver a un nombre, y ese nombre de vuelta a la misma IP. Sin eso, muchos proveedores desconfían.
• Reputación de la IP. Si la IP estuvo antes en manos de alguien que envió spam, puede estar en listas negras aunque todo lo demás esté perfecto.
• El contenido. Asuntos en mayúsculas, solo una imagen sin texto o enlaces acortados suman puntos de spam.

Cómo revisarlo tú mismo

1. Envía un correo desde tu dominio a una cuenta de Gmail.
2. En Gmail, abre el mensaje, menú de los tres puntos y "Mostrar original".
3. Arriba verás SPF, DKIM y DMARC con el resultado PASS o FAIL. Los tres deberían decir PASS.
4. Si alguno falla, el detalle de abajo (cabecera Authentication-Results) dice cuál y por qué.

Si los tres pasan y aun así llegas a spam, el problema suele ser la reputación de la IP o del dominio, o el contenido. Eso requiere revisar el caso con más calma.