Agendar diagnóstico
← Todos los artículos

Por qué tus correos caen en spam: SPF, DKIM y DMARC sin jerga

Carlos Amores · · 3 min de lectura

Si tus cotizaciones, facturas o confirmaciones de pedido llegan a la carpeta de spam, casi nunca es por el contenido. Lo más común es que tu dominio no le demuestra a Gmail, Outlook o Yahoo que esos correos de verdad son tuyos. Eso se resuelve con tres registros DNS: SPF, DKIM y DMARC.

Los tres, en una frase cada uno

  • SPF es la lista de servidores autorizados a enviar correo en nombre de tu dominio.
  • DKIM es una firma digital que viaja en cada correo y prueba que salió de un servicio autorizado y que nadie lo alteró en el camino.
  • DMARC le dice al receptor qué hacer si un correo falla esas pruebas —dejarlo pasar, mandarlo a spam o rechazarlo— y te envía reportes de lo que está pasando con tu dominio.

Lo que exige Gmail desde febrero de 2024

Google fijó requisitos para quienes envían a cuentas de Gmail. Todos los remitentes deben autenticar su correo con SPF o DKIM, usar conexión cifrada (TLS) y mantener baja la tasa de mensajes marcados como spam. Quienes envían más de 5000 mensajes al día además necesitan DMARC, que el dominio del remitente coincida con el de SPF o DKIM, y un enlace para darse de baja con un clic en los correos de marketing. Aunque tu empresa envíe menos, cumplir con todo es la forma más segura de que tus correos lleguen.

Paso a paso

1. Haz el inventario de quién envía en tu nombre

Es el paso que más se salta y el que más problemas causa. Anota todo lo que manda correos con tu dominio: el correo corporativo (Google Workspace, Microsoft 365 o el de tu hosting), la tienda en línea, el CRM, la herramienta de boletines y, muy importante, el sistema de facturación electrónica.

2. Un solo registro SPF

Todos esos servicios van en un único registro SPF. Tener dos es un error frecuente que hace fallar a ambos. Un ejemplo:

tuempresa.com.  TXT  "v=spf1 include:_spf.google.com include:servidor-de-tu-tienda.com ~all"

SPF admite como máximo diez consultas DNS. Si sumas muchos servicios, puedes pasarte del límite sin notarlo.

3. Activa DKIM en cada servicio

Cada plataforma —tu correo, tu tienda, tu herramienta de boletines— te entrega su propio registro DKIM para publicar en tu DNS. Actívalo en todas.

4. Publica DMARC en modo observación

_dmarc.tuempresa.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.com"

Con p=none no se bloquea nada: solo recibes reportes. Revísalos unas semanas para descubrir servicios que se te escaparon en el inventario.

5. Endurece de a poco

Cuando los reportes muestren que todo lo legítimo pasa, cambia a p=quarantine y, más adelante, a p=reject. Desde ahí, nadie puede enviar correos haciéndose pasar por tu empresa sin que los rechacen.

Errores comunes

  • Dos registros SPF en el mismo dominio.
  • Olvidar la tienda o el sistema de facturación en el SPF.
  • Saltar directo a p=reject sin observar antes y bloquear tus propios correos.
  • Configurarlo todo y no volver a mirar los reportes de DMARC.

Un correo que no llega es una venta que no se cierra y un cliente que cree que no le respondiste.

Fuentes