¿Los correos de su plataforma llegan a spam? SPF, DKIM y DMARC explicados

Un miembro hace un depósito y el correo de confirmación llega a spam. No culpa a Gmail — le culpa a usted, y abre un ticket de soporte con un tono cortante. La entregabilidad del correo es una de las partes menos glamorosas y más críticas para la confianza al operar una plataforma. La buena noticia: en gran parte se reduce a tres registros DNS y un puñado de hábitos.

Los tres registros que deciden dónde llega su correo

SPF: quién puede enviar en nombre de su dominio

Un registro SPF es una línea en su DNS que enumera los servidores autorizados a enviar correo en nombre de su dominio. Sin él, cualquiera en el mundo puede enviar correo afirmando ser usted, y los filtros receptores tratan sus mensajes genuinos con sospecha como resultado. Con él, su servidor de plataforma y su buzón profesional están en la lista de invitados; los spammers, no.

El detalle que atrapa a la gente: cada remitente tiene que estar en esa lista. Si su plataforma envía desde el servidor pero su buzón de soporte envía a través de un proveedor de correo separado, ambos pertenecen al registro. Omita uno, y esa corriente de correo perfectamente genuino empezará a fallar las comprobaciones — normalmente descubierto por un miembro, en un ticket, después de que un aviso de pago nunca llegó.

DKIM: una firma en cada mensaje

DKIM adjunta una firma criptográfica a cada correo saliente. El receptor la comprueba frente a una clave en su DNS y sabe dos cosas: que el correo realmente vino de su dominio, y que nadie lo alteró por el camino. El correo sin firmar de una plataforma financiera es exactamente lo que los filtros modernos están entrenados para desconfiar.

La firma solo cuenta si la clave en su DNS realmente coincide con la clave privada con la que firma su servidor. Publique una clave que el servidor no posee — después de una migración, por ejemplo, o una reinstalación del panel — y su correo saldrá sin firmar mientras cada página de ajustes sigue insistiendo en que DKIM está activado. Es el fallo más silencioso de todo este artículo, y la sección de pruebas siguiente es cómo lo detecta.

DMARC: la política que los une

DMARC dice a los receptores qué hacer con el correo que falla SPF o DKIM — supervisarlo, ponerlo en cuarentena o rechazarlo. Incluso empezar con una política de supervisión mejora cómo los filtros puntúan su dominio, y los informes que genera le muestran quién más está enviando (o fingiendo enviar) como usted.

DMARC también añade la comprobación que les falta a los otros dos: el dominio que su miembro realmente ve en la línea De debe alinearse con los dominios que SPF y DKIM autenticaron. Esa regla de alineación es lo que impide que una configuración de envío parecida pase por un tecnicismo. En la práctica, impleméntelo por etapas — supervise primero mientras lee los informes, después ponga en cuarentena, y luego rechace una vez que esté seguro de que ningún remitente legítimo ha quedado fuera.

Configurar los tres correctamente es un trabajo de una sola vez; también es uno de los servicios de nuestro centro de servicios, porque hacerlo a medias es peor de lo que parece — una clave DKIM rota envenena en silencio un dominio durante semanas. Nuestro servicio Business Email Setup cubre exactamente este terreno: SPF y DKIM configurados en un buzón de su propio dominio en el nivel Basic de $20, y el conjunto completo — SPF, DKIM y DMARC, hasta cinco buzones — por $50, con el correo probado para confirmar que llega a la bandeja de entrada.

Lea sus informes DMARC, al menos al principio

Los informes que genera DMARC son el diagnóstico más infrautilizado del correo de plataformas. Los grandes proveedores de buzones envían resúmenes agregados del correo que recibieron afirmando ser de su dominio: qué servidores lo enviaron, cuánto pasó la autenticación y cuánto no. En las primeras semanas después de la configuración, esos informes son la forma de encontrar al remitente que usted olvidó — un formulario de contacto antiguo, un segundo proveedor de buzones, una instalación de prueba en un subdominio — antes de que una política más estricta empiece a rechazar su correo. Más tarde, son un sistema de alerta temprana: una fuente que usted no reconoce, enviando como usted y fallando, es suplantación sobre la que puede actuar mientras aún es pequeña.

Hábitos que ayudan (y perjudican)

• Envíe desde su propio dominio. El correo de la plataforma debe venir de direcciones de su dominio, con correo profesional adecuado — nunca desde un buzón gratuito.
• Caliente un dominio nuevo. Un dominio totalmente nuevo que envía cientos de mensajes el primer día coincide casi exactamente con el perfil del spammer. Aumente el volumen durante las primeras semanas.
• Mantenga el contenido limpio. Asuntos a gritos, URL acortadas y correos solo con imágenes son señales clásicas de spam.
• Procese sus rebotes. Enviar repetidamente a direcciones muertas daña la reputación del remitente también para todos los demás miembros.
• Separe las corrientes. El correo transaccional (depósitos, restablecimientos) es sagrado. Las campañas de marketing desde el mismo dominio lo ponen en riesgo; use un subdominio si debe enviarlas.
• Vuelva a probar después de cada cambio. Una mudanza de hosting, un nuevo proveedor de buzones o una limpieza de DNS puede romper en silencio uno de los tres registros. Los registros apuntan a remitentes; cambie un remitente y el registro tiene que cambiar con él.

Pruébelo como lo vive un miembro

Cree cuentas de prueba en los principales proveedores de buzones y active cada correo que envía su plataforma: registro, confirmación de depósito, aviso de pago, restablecimiento de contraseña. Compruebe dónde llega cada uno y vea los resultados de autenticación en las cabeceras del mensaje — usted quiere ver SPF aprobado, DKIM aprobado, DMARC aprobado. Quince minutos de esto encuentran problemas que sus miembros encontrarían en su lugar, en público, en el peor momento. Pertenece a la misma lista previa al lanzamiento que los puntos de nuestra lista de verificación de lanzamiento de GoldCoders.

Mire las cabeceras, no solo la carpeta. El correo puede llegar a la bandeja de entrada en un buen día con una firma rota debajo, porque la reputación lo sostuvo — y la reputación es un cojín, no una solución. Las líneas de cabecera son la evidencia: dicen con claridad qué comprobaciones se ejecutaron y cuáles pasaron, para ese mensaje exacto, de esa corriente exacta.

Por qué esto importa más allá de la bandeja de entrada

La entregabilidad es también, en silencio, una función de seguridad: SPF, DKIM y DMARC son lo que impide que desconocidos envíen correos falsos convincentes de «problema con el pago» en su nombre. Si aún no lo ha hecho, lea nuestra lista de verificación de refuerzo de la plataforma — la configuración de correo de su dominio forma parte de las defensas de su plataforma.

Desde nuestro propio escritorio

Nuestro propio dominio supera SPF, DKIM y DMARC — los verificamos cabecera por cabecera cuando configuramos el correo de HyipTemplates, porque nuestras confirmaciones de pedido y respuestas de soporte viajan por la misma tubería en la que confían nuestros clientes. Cuando uno solo de esos registros estaba mal durante la configuración, nuestro propio correo de prueba llegó a spam en menos de una hora. Así de rápido se manifiesta esto. Si prefiere no vivir entre registros DNS, este es todo el trabajo de nuestra configuración de correo profesional, disponible en nuestra tienda — SPF, DKIM y DMARC configurados y probados con mensajes reales.

Conclusión

Publique registros SPF, DKIM y DMARC correctos, envíe desde su propio dominio con correo profesional real, caliente gradualmente y pruebe cada tipo de mensaje como un miembro. Sus confirmaciones llegarán a la bandeja de entrada — y los miembros dejarán de preguntarse adónde fueron.

Preguntas frecuentes

Configuré SPF, DKIM y DMARC, pero el correo sigue llegando a spam. ¿Por qué?

La autenticación demuestra que el correo es realmente de su dominio; no hace que el correo sea bienvenido. Los dominios nuevos empiezan sin reputación, así que los primeros mensajes se juzgan con más dureza — mantenga el volumen honesto, nunca envíe a listas que no se ganó, y deje que unas semanas de envíos limpios construyan el historial. Si incluso un registro está desalineado — que el dominio DKIM no coincida con el dominio De, por ejemplo — toda la prueba se tambalea, así que vuelva a comprobar la alineación antes de culpar a la reputación.

¿Cuánto tardan los cambios en los registros DNS en surtir efecto?

Normalmente de minutos a pocas horas, ocasionalmente hasta un día mientras caducan las cachés. Cambie un registro cada vez y pruebe después de cada uno — tres cambios a la vez convierten cualquier fallo en un juego de adivinanzas.

¿Puede DMARC romper mi correo si lo configuro mal?

Sí, si usted salta directamente a una política estricta. Empiece con p=none, que solo informa, lea los informes hasta que muestren a sus remitentes reales aprobando, y solo entonces suba a cuarentena o rechazo. La política es un dial, no un interruptor — nuestra configuración de correo profesional sigue el mismo orden.