Mis correos llegan a spam: SPF, DKIM y DMARC

¿Envía un presupuesto o una factura y su cliente solo lo encuentra en el correo no deseado? Gmail, Outlook y los demás servicios de correo filtran los mensajes cuyo origen no pueden verificar. Tres registros DNS sirven para demostrar que sus mensajes vienen realmente de usted: SPF, DKIM y DMARC. Esta guía explica para qué sirven, cómo comprobarlos en su dominio y qué otras causas pueden enviar sus correos a spam.

¿Por qué mis correos llegan a spam?

Las causas más frecuentes son:

• el dominio no está autenticado: faltan SPF, DKIM o DMARC, o están mal escritos;
• el contenido parece spam: asunto en mayúsculas, muchos enlaces, una sola imagen grande, palabras como «gratis» o «urgente»;
• la reputación es baja: dominio reciente, envío repentino de muchos mensajes o buzón pirateado que ha enviado spam;
• el destinatario no le conoce: primer intercambio o dirección nunca marcada como segura.

La autenticación del dominio es el punto de partida: sin ella, los demás esfuerzos tienen poco efecto.

¿Qué son SPF, DKIM y DMARC?

SPF: ¿quién tiene derecho a enviar?

El SPF es un registro TXT de su dominio que empieza por v=spf1. Enumera los servidores autorizados a enviar correos en su nombre. Cuando Gmail recibe un mensaje de contacto@sudominio.es, comprueba que el servidor que lo envió figura en esa lista.

DKIM: ¿se ha modificado el mensaje?

El DKIM añade una firma digital a cada correo enviado. La clave que permite verificar esta firma se publica en un registro TXT, por ejemplo default._domainkey.sudominio.es. Si la firma es válida, el destinatario sabe que el mensaje procede de su dominio y que no se ha alterado por el camino.

DMARC: ¿qué hacer si fallan los controles?

El DMARC es un registro TXT llamado _dmarc.sudominio.es que empieza por v=DMARC1. Indica a los servicios de correo qué hacer con un mensaje que no supera los controles SPF y DKIM: nada en especial (p=none), ponerlo en cuarentena (p=quarantine) o rechazarlo (p=reject). Gmail y Yahoo exigen ahora DMARC a los remitentes que envían grandes volúmenes.

Comprobar sus registros paso a paso

1. Abra la zona DNS de su dominio: en Dominios, haga clic en el dominio y luego en la pestaña DNS si se gestiona en Upkyo (consulte Modificar sus registros DNS), o en la interfaz de su registrador si se gestiona en otro lugar.
2. Localice el registro TXT que empieza por v=spf1 en el dominio principal. Solo debe haber uno.
3. Localice el registro TXT de DKIM, llamado default._domainkey.
4. Localice el registro TXT llamado _dmarc, que empieza por v=DMARC1.
5. Si falta alguno, añádalo con el valor exacto proporcionado por Upkyo y espere a la propagación, consulte ¿Por qué mi cambio DNS todavía no es visible?.
6. Envíe un mensaje de prueba a una dirección de Gmail y abra la opción Mostrar original: las líneas SPF, DKIM y DMARC deben indicar PASS.

¿Dónde encontrar los valores correctos en Upkyo?

Para un dominio registrado en otro lugar y conectado en Dominios externos, la página del dominio muestra las líneas SPF, DKIM y DMARC que debe copiar en su registrador, con su estado de avance (consulte Usar Upkyo Mail con un dominio comprado en otro lugar). La línea DKIM aparece en cuanto se crea su primera dirección de correo con ese dominio. El valor DMARC propuesto es v=DMARC1; p=none: una política de observación, sin riesgo de bloquear sus propios correos.

Para un dominio gestionado en Upkyo, compruebe en la pestaña DNS que estos tres registros están presentes. Si tiene dudas sobre un valor, abra un ticket: el soporte le indicará los valores exactos para su dominio.

Errores frecuentes

• Dos registros SPF: es un error, aunque cada uno sea correcto. Fusiónelos en un único v=spf1 … ~all que incluya todos sus servicios de envío.
• SPF demasiado largo: a partir de diez consultas DNS (las menciones include:), el SPF falla. Quite los servicios que ya no utiliza.
• DKIM copiado incompleto: la clave es larga y basta con que falte una parte para invalidar la firma.
• DMARC demasiado estricto demasiado pronto: pasar directamente a p=reject puede bloquear envíos legítimos de un servicio olvidado. Empiece por p=none.
• Nombre de dominio duplicado: en algunos registradores, escriba _dmarc y no _dmarc.sudominio.es.

Buenas prácticas para seguir en la bandeja de entrada

• Escriba asuntos claros, sin mayúsculas ni signos de exclamación repetidos.
• Equilibre texto e imágenes y limite el número de enlaces.
• Pida a sus interlocutores habituales que añadan su dirección a sus contactos.
• Proteja sus buzones con contraseñas sólidas: un buzón pirateado que envía spam arruina la reputación del dominio, consulte Cambiar la contraseña de un buzón.

Preguntas frecuentes

¿Cómo evito que mis correos lleguen a spam?

Autentique su dominio con SPF, DKIM y DMARC, cuide el contenido de sus mensajes y evite los envíos masivos desde un buzón normal. Compruebe el resultado con la opción Mostrar original de Gmail.

¿Cómo sé si mi SPF y mi DKIM están bien configurados?

Envíe un correo a una dirección de Gmail, ábralo y elija Mostrar original. Gmail indica PASS o FAIL para SPF, DKIM y DMARC.

¿Qué valor de DMARC elijo para empezar?

v=DMARC1; p=none es el valor recomendado para empezar: activa DMARC sin bloquear ningún mensaje. Podrá endurecerlo más adelante, cuando esté seguro de que todos sus envíos superan los controles.

¿Por qué mis correos van a spam en Gmail y no en otros servicios?

Gmail es más exigente: pide SPF o DKIM a todos y DMARC a los envíos masivos. Un solo registro que falte suele bastar para explicar la diferencia.