Por qué tus correos llegan a spam: SPF, DKIM y DMARC explicados fácil

Tres registros en tu dominio le demuestran a Gmail y a Outlook que tus correos son tuyos. Qué hace cada uno, cómo comprobarlos y qué más influye.

Envías una cotización y el cliente no la ve, porque terminó en la carpeta de spam. Muchas veces el problema no es lo que escribiste, sino que tu dominio no le demuestra a los servidores de destino que ese correo es realmente tuyo. Para eso existen tres registros: SPF, DKIM y DMARC.

La idea: una carta con remitente comprobable

Cualquiera puede escribir en el sobre que la carta la manda tu empresa. Por eso Gmail, Outlook y los demás revisan tres cosas antes de dejar pasar un correo:

• SPF: ¿el servidor que envió el correo está autorizado por tu dominio?
• DKIM: ¿el correo trae la firma de tu dominio y llegó sin cambios?
• DMARC: si las dos primeras fallan, ¿qué quieres que se haga con ese correo?

SPF: la lista de servidores autorizados

Es un registro de texto (TXT) en tu dominio que dice desde qué servidores se pueden enviar tus correos. Por ejemplo:

v=spf1 a mx ~all

Si además envías correos desde otro servicio (un sistema de facturación o de boletines), hay que agregarlo con un include:. Dos reglas importantes: tu dominio debe tener un solo registro SPF, y no conviene encadenar demasiados include (hay un límite de 10 consultas).

DKIM: la firma de cada correo

Tu servidor firma cada correo que sale con una clave privada, y publica la clave pública en tu dominio (un registro TXT con un nombre como default._domainkey). El servidor que recibe comprueba la firma: si coincide, sabe que el correo salió de tu dominio y que nadie lo modificó en el camino. La clave la genera tu proveedor de correo; tú (o él) solo la publicas.

DMARC: qué hacer con los correos falsos

DMARC une a los otros dos y le dice al mundo qué hacer con los correos que dicen ser tuyos pero no pasan la prueba. Se publica en _dmarc.tuempresa.com:

v=DMARC1; p=none; rua=mailto:[email protected]

• p=none: solo observar y enviarte reportes. Es el punto de partida.
• p=quarantine: mandar a spam los correos que fallen.
• p=reject: rechazarlos. Es la protección más fuerte contra quien se hace pasar por tu empresa.

Lo recomendable es empezar con none, revisar unas semanas que tus correos legítimos pasen y luego subir a quarantine o reject.

¿Es obligatorio?

Desde 2024, Gmail y Yahoo exigen SPF o DKIM a todos los que les envían correos, y los tres registros a quienes envían grandes cantidades. En la práctica, un dominio sin estos registros tiene muchas más probabilidades de terminar en spam, aunque envíe pocos correos.

Cómo comprobar si los tienes bien

1. Envía un correo desde tu cuenta corporativa a una cuenta de Gmail.
2. Ábrelo en Gmail en la computadora, toca los tres puntos y elige Mostrar original.
3. Arriba verás SPF, DKIM y DMARC. Los tres deberían decir PASS.

Lo que también influye

• El contenido: asuntos en mayúsculas, demasiados signos de exclamación, solo una imagen sin texto o enlaces acortados.
• A quién le escribes: enviar boletines a listas compradas o a personas que no lo pidieron daña la reputación de tu dominio.
• Los formularios de tu sitio: deben enviar desde una cuenta de tu dominio y usar el correo del visitante solo como dirección de respuesta.
• Una cuenta hackeada: si alguien envía spam desde tus correos, todo tu dominio pierde reputación. Usa contraseñas largas y únicas.

Si tus correos son con nosotros, dejamos SPF, DKIM y DMARC configurados al activar el servicio. Si tienes el correo en otro lado y tus mensajes llegan a spam, escríbenos y lo revisamos.