Correo profesional con tu dominio: SPF, DKIM y DMARC para que tus mensajes lleguen

En el estudio todavía recibimos de vez en cuando presupuestos de proveedores firmados desde una cuenta de Gmail genérica. El trabajo puede ser excelente, pero esa dirección dice otra cosa antes de que abras el adjunto. Un correo con tu propio dominio, nombre@tuempresa.es, es una de las señales de confianza más baratas y más eficaces que existen, y la gente la nota aunque nunca lo diga.

La otra mitad de la historia es menos visible. Tener la dirección no garantiza que tus mensajes lleguen. Detrás de cada correo que entra en una bandeja de entrada hay una comprobación silenciosa: el servidor que lo recibe consulta el DNS de tu dominio para saber si quien lo envía está autorizado. Esa consulta se apoya en tres registros, SPF, DKIM y DMARC, y cuando están bien configurados tus presupuestos, tus facturas y las respuestas del formulario de contacto llegan donde deben.

Esta guía es la continuación natural de la de dominios y DNS. Allí vimos dónde vive tu zona y qué es un registro TXT; aquí vamos a usarla para que tu correo sea fiable de punta a punta.

01Elegir dónde vive tu correo profesional

Antes de los registros, una decisión: qué servicio aloja los buzones. Las opciones habituales para una pyme son estas.

En nuestros proyectos solemos recomendar separar el correo del hosting web. Así puedes cambiar de servidor web sin tocar los buzones, y el correo queda en manos de un proveedor especializado en entregabilidad, que es la capacidad de que un mensaje llegue a la bandeja de entrada y no a spam.

Al dar de alta el servicio, el proveedor te pedirá verificar el dominio con un TXT y te dará los registros MX. A partir de ahí entran en juego los tres protagonistas.

02SPF: la lista de quién puede enviar en tu nombre

SPF (Sender Policy Framework, definido en el RFC 7208) es un registro TXT en el dominio raíz que enumera los servidores autorizados a enviar correo con tu dominio. Cuando llega un mensaje, el servidor receptor mira desde qué IP se ha enviado y comprueba si está en tu lista.

Un SPF para una empresa que usa Google Workspace para el correo diario y Brevo para la newsletter tendría este aspecto:

tuempresa.es.  TXT  "v=spf1 include:_spf.google.com include:spf.brevo.com ~all"

Cada parte tiene su función:

• →v=spf1 indica que es un registro SPF.
• →include: incorpora la lista de servidores que publica cada proveedor. Cada servicio te dice cuál es el suyo.
• →ip4: o ip6: autorizan direcciones concretas, por ejemplo el servidor de tu web si envía correo directamente.
• →~all cierra la lista: lo que no esté arriba, probablemente no es tuyo.

Las dos reglas del SPF

La primera: un solo registro SPF por dominio. Si añades un servicio nuevo, se incorpora a la línea existente con otro include, nunca se crea un segundo registro.

La segunda: un máximo de 10 consultas DNS. Cada include, a, mx o redirect cuenta, y también los include que hay dentro de cada include. Superar ese límite hace que el SPF dé error permanente (permerror). Si tu empresa usa muchos servicios, lo que funciona es revisar cuáles envían de verdad, retirar los que ya no se usan y, si hace falta, mover los envíos de marketing a un subdominio (por ejemplo news.tuempresa.es) con su propio SPF.

03DKIM: la firma que demuestra que el mensaje es tuyo

DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada correo. El proveedor que envía firma el mensaje con una clave privada y publica la clave pública en tu DNS. El receptor recupera esa clave, verifica la firma y comprueba que ni el remitente ni el contenido se han alterado por el camino.

La clave pública se publica en un subdominio con este formato: selector._domainkey.tuempresa.es. El selector es un nombre que elige cada proveedor (google, selector1, brevo…) y permite tener varias firmas a la vez, una por servicio.

google._domainkey.tuempresa.es.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
selector1._domainkey.tuempresa.es.  CNAME  selector1-tuempresa-es._domainkey.tuempresa.onmicrosoft.com.

Algunos proveedores te dan la clave como TXT y otros como CNAME, para poder rotarla ellos sin que tengas que tocar nada. Ambas formas son correctas. Lo que conviene comprobar:

1. 01Genera la clave desde el panel del proveedor, en 2.048 bits si te deja elegir.
2. 02Copia el registro tal cual. Las claves largas a veces se cortan al pegarlas; verifica que el valor publicado coincide carácter a carácter.
3. 03Vuelve al panel del proveedor y activa la firma. En Google Workspace, por ejemplo, hay que pulsar «Iniciar autenticación» después de publicar el registro.
4. 04Repite para cada servicio que envíe con tu dominio: newsletter, CRM, facturación, tienda online.

04DMARC: la política que une las dos piezas

SPF y DKIM comprueban cosas técnicas, pero ninguno de los dos mira la dirección que la persona ve en el campo «De:». DMARC (Domain-based Message Authentication, Reporting and Conformance) cierra ese hueco con dos ideas.

La primera es el alineamiento: para que un mensaje pase DMARC, debe pasar SPF o DKIM con un dominio que coincida con el del remitente visible. Si una plataforma firma con su propio dominio y no con el tuyo, DKIM pasa, pero no está alineado.

La segunda es la política: le dices a los receptores qué hacer con los correos que dicen ser tuyos y no pasan. Y, a cambio, los receptores te envían informes diarios con todo lo que han visto en tu nombre.

_dmarc.tuempresa.es.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.es; adkim=r; aspf=r"

Los informes llegan en XML y son difíciles de leer a ojo. Servicios como Postmark DMARC, dmarcian o el panel de tu proveedor de seguridad los convierten en tablas legibles: qué servicios envían en tu nombre, cuántos mensajes y si pasan o no.

Clave: DMARC en p=none no bloquea nada, solo observa. Es el primer paso perfecto: te enseña quién envía en tu nombre antes de pedir a nadie que rechace correos.

05El orden que funciona para endurecer DMARC

Endurecer la política es lo que de verdad protege tu dominio de la suplantación, porque es lo que impide que un tercero envíe facturas falsas con tu nombre. Lo que funciona es hacerlo por escalones, con datos.

1. 01Semana 0. Publica SPF y DKIM para todos los servicios conocidos y DMARC con p=none y una dirección rua.
2. 02Semanas 1 a 4. Lee los informes. Aparecerán servicios que habías olvidado: el programa de facturación, la centralita que envía avisos por correo, el formulario de la web, una herramienta de encuestas. Configura SPF y DKIM en cada uno.
3. 03Cuando todo el correo legítimo pase. Cambia a p=quarantine; pct=25. Los mensajes que fallen irán a spam en una cuarta parte de los casos.
4. 04Dos semanas después. Sube a pct=100.
5. 05Cuando los informes estén limpios. Pasa a p=reject. Los receptores rechazarán cualquier correo no autenticado que diga venir de tu dominio.

Un paso más: BIMI

Cuando tu DMARC está en quarantine o reject, puedes publicar un registro BIMI que muestra el logotipo de tu marca junto a tus correos en los clientes que lo admiten. Para que aparezca en Gmail con la marca de verificación hace falta un certificado de marca (VMC o CMC), que exige tener el logo registrado. Es un buen remate para marcas con mucho correo a clientes; si te interesa el formato del logo en espacios tan pequeños, en logotipo responsive hablamos de cómo preparar el símbolo.

06El correo de la web: formularios, tienda y avisos

Una parte importante del correo de una empresa no la escribe nadie: la envían la web, la tienda o el sistema de reservas. Confirmaciones de pedido, avisos de formulario, recordatorios de cita. Es justo el correo que más suele acabar en spam, porque muchas webs lo envían directamente desde el servidor del hosting con la función de correo de PHP, desde una IP que no figura en el SPF y sin firma DKIM.

Lo que funciona es enviar ese correo a través de un servicio de correo transaccional (Postmark, Amazon SES, Brevo, Mailgun y similares) o mediante SMTP autenticado de tu proveedor de correo. Cada uno de estos servicios te da su include para el SPF y sus registros DKIM, y el correo de la web pasa a tener la misma reputación que el resto. En la guía sobre formularios por dentro contamos cómo conectar esa pieza con la validación y el antispam.

Dos detalles que mejoran mucho la experiencia de quien recibe esos correos:

• →Remitente reconocible. «Reservas Restaurante Mar» <reservas@tuempresa.es> en lugar de noreply@servidor123.hosting.com.
• →Responder a una persona. Configura la cabecera Reply-To para que, si el cliente contesta, su mensaje llegue a alguien que pueda atenderlo.

07Comprobar y mantener tu configuración

Una vez montado, el correo necesita muy poco mantenimiento, pero sí algo de atención cuando cambian las herramientas. Esta es la lista que usamos en el estudio:

• →Al montar: prueba cada servicio con «Mostrar original» en Gmail y con mail-tester.com, que puntúa el mensaje y explica cualquier detalle mejorable.
• →Herramientas de diagnóstico: MXToolbox y la Dig de Google Admin Toolbox muestran tus registros tal como los ve el mundo y avisan si el SPF supera las 10 consultas.
• →Google Postmaster Tools: si envías volumen a usuarios de Gmail, te muestra la reputación de tu dominio y la tasa de quejas. Google recomienda mantener las quejas por spam por debajo del 0,1 % y en ningún caso alcanzar el 0,3 %.
• →Cada vez que contratas una herramienta que envía correo (CRM, facturación, newsletter), añade su include y su DKIM antes de empezar a usarla.
• →Cada vez que la dejas, retírala del SPF para mantener la lista corta y limpia.
• →Una vez al año, revisa los informes DMARC y rota las claves DKIM si tu proveedor no lo hace automáticamente.

Para quien quiera ir más allá, existen dos estándares que refuerzan el transporte: MTA-STS, que obliga a que el correo hacia tu dominio viaje cifrado, y TLS-RPT, que te informa de los fallos de cifrado. Encajan bien en empresas que manejan información sensible, como despachos o clínicas, y complementan lo que contamos en seguridad web y confianza.

Configurar bien el correo es de esas tareas que nadie aplaude porque, cuando está hecha, simplemente todo llega. Para nosotros forma parte de cualquier lanzamiento web y del mantenimiento web que hacemos para nuestros clientes: revisamos los registros, conectamos los formularios con un servicio transaccional y acompañamos la transición de DMARC hasta la política final. Si quieres que echemos un vistazo a cómo está tu dominio, escríbenos y te contamos lo que vemos.