Lista de entregabilidad del correo: SPF, DKIM y DMARC para SaaS

Puedes escribir el correo de bienvenida perfecto, enviarlo en milisegundos y aun así perderlo en la carpeta de spam. Los proveedores de correo como Gmail, Outlook y Yahoo deciden dónde acaba un mensaje mucho antes de que nadie lo lea, y lo primero que comprueban es si el remitente es quien dice ser.

Tres registros DNS responden a esa pregunta: SPF, DKIM y DMARC. Esta lista de comprobación explica cada uno con palabras sencillas y muestra cómo configurarlos para el dominio desde el que envías.

Por qué importa más que nunca

En febrero de 2024, Google y Yahoo empezaron a aplicar normas más estrictas a todos los que envían correo a sus usuarios:

• Todos los remitentes deben autenticarse con SPF o DKIM, enviar mediante TLS y mantener baja su tasa de quejas por spam (Google pide menos del 0,3 %).
• Los remitentes masivos, aproximadamente 5.000 mensajes o más al día a Gmail, deben tener SPF y DKIM y una política DMARC, con el dominio visible del From (remitente) alineado con ellos. El correo de marketing también necesita una baja con un solo clic.

Otros proveedores han seguido el mismo camino. Los mensajes que no superan estas comprobaciones se rechazan cada vez más directamente, en lugar de simplemente archivarse como spam.

Dónde encaja Inbixio

Con Inbixio, tus correos los entrega tu propio servidor SMTP: el buzón que conectaste en Email Servers (servidores de correo). Eso significa que tus registros de autenticación describen a tu proveedor de correo (Google Workspace, Microsoft 365, Zoho, tu hosting), no a Inbixio. Configúralos una vez para tu dominio y todos los correos enviados a través de la API se beneficiarán.

Los ejemplos siguientes usan yourco.com. Sustitúyelo por tu dominio.

1. SPF: quién puede enviar por tu dominio

SPF (Sender Policy Framework) es un registro TXT que enumera los servidores autorizados a enviar correo en nombre de tu dominio. Los receptores comparan el servidor que entregó un mensaje con esa lista.

Añade un registro TXT en la raíz de tu dominio:

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

La parte include: depende de tu proveedor:

Reglas en las que mucha gente tropieza:

• Un solo registro SPF por dominio. Si usas dos servicios, combínalos: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Dos registros SPF separados invalidan ambos.
• Como máximo 10 búsquedas DNS. Cada include: cuenta, y también los includes que contiene. Elimina los servicios que ya no uses.
• Termina con ~all (fallo leve) mientras lo configuras. Pasa a -all (fallo estricto) cuando estés seguro de que la lista está completa.

2. DKIM: una firma en cada mensaje

DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada correo. Tu proveedor de correo firma con una clave privada, y tú publicas la clave pública correspondiente en el DNS para que los receptores puedan verificar que el mensaje no se ha alterado y que procede realmente de tu dominio.

Este registro no se escribe a mano. Lo genera tu proveedor:

• Google Workspace: Admin console → Apps → Google Workspace → Gmail → Authenticate email.
• Microsoft 365: Microsoft Defender portal → Email authentication settings → DKIM.
• Zoho Mail: Admin console → Domains → tu dominio → Email configuration → DKIM.

Cada uno te da un registro para publicar, normalmente un TXT o un CNAME con un nombre como google._domainkey.yourco.com. Añádelo en tu DNS, espera a que se propague y, después, haz clic en Start authentication (o el equivalente) en la consola del proveedor. Si te dan a elegir, usa una clave de 2048 bits.

3. DMARC: la política que lo une todo

DMARC indica a los receptores qué hacer cuando un mensaje no supera SPF ni DKIM, y les pide que te envíen informes. También comprueba la alineación: el dominio de la dirección visible del From debe coincidir con el dominio que superó SPF o DKIM.

Empieza en modo de supervisión:

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none solo supervisa. No se bloquea nada mientras revisas los informes.
• rua= es el destino de los informes agregados diarios. Son archivos XML, así que un visor gratuito de informes DMARC los hace legibles.

Tras dos a cuatro semanas de informes limpios, endurece la política paso a paso: p=quarantine (el correo que falla va a spam) y, después, p=reject (el correo que falla se rechaza). Ese último paso es el que impide que otros envíen phishing en tu nombre.

4. Usa direcciones de remitente coherentes

Con Inbixio, los correos se envían desde la dirección del nombre de usuario SMTP que conectaste; por ejemplo, notifications@yourco.com. Para mantener la alineación sencilla:

• envía desde una dirección del mismo dominio para el que configuraste SPF, DKIM y DMARC,
• usa un conjunto pequeño y estable de direcciones de remitente (notifications@, security@, billing@), y
• si distintos servicios deben usar direcciones distintas, conecta un servidor por dirección y fija cada clave de API a su servidor.

5. Hábitos que protegen tu reputación

La autenticación demuestra quién eres; tu comportamiento decide si los receptores confían en ti:

• Envía correo solo a quien lo espera. El correo transaccional (recibos, restablecimientos, códigos) tiene tasas de quejas muy bajas. Mantén el marketing separado y con consentimiento previo.
• Elimina las direcciones que rebotan. Enviar repetidamente a buzones no válidos parece la lista de un spammer. Los avisos de rebote llegan al buzón desde el que envías (el que conectaste a Inbixio), así que revísalo y elimina esas direcciones de tus listas.
• Escribe como una persona. Un asunto claro, un diseño que funcione también en texto plano, una dirección de remitente que acepte respuestas y nada de acortadores de enlaces.
• Aumenta el volumen poco a poco. Un dominio nuevo que de repente envía 50.000 correos resulta sospechoso. Incrementa el volumen a lo largo de unas semanas.

Cómo comprobar tu configuración

1. Envía una prueba a través de Inbixio a una dirección de Gmail que controles.
2. En Gmail, abre el mensaje, haz clic en ⋮ → Show original (Mostrar original) y busca SPF: PASS, DKIM: PASS y DMARC: PASS.
3. Para un seguimiento continuo, registra tu dominio en Google Postmaster Tools y consulta tu tasa de spam y tu reputación.

La lista de comprobación

• Un solo registro SPF que incluya a tu proveedor de correo, con menos de 10 búsquedas
• DKIM activado en tu proveedor, con el registro DNS publicado y verificado
• DMARC en p=none con los informes dirigidos a una dirección que se revise
• Direcciones de remitente en el mismo dominio que tus registros SPF, DKIM y DMARC
• «Mostrar original» de Gmail muestra PASS en los tres
• Un recordatorio para pasar DMARC a quarantine y después a reject

A continuación, ponlo en práctica en los correos que los usuarios más esperan: códigos OTP y de verificación y restablecimientos de contraseña.