Por qué tu correo de empresa cae en spam — y los tres registros que lo arreglan

Compraste un dominio, montaste [email protected], mandaste un presupuesto a un cliente — y nunca lo vio. Le llamas, y aparece en spam. O peor: tampoco está en spam. Sencillamente no llegó.

No hay nada roto. El buzón funciona. Lo que falta es la parte que casi todo el mundo se salta.

El problema: cualquiera puede decir que es tú

El correo se diseñó en los años ochenta, cuando internet funcionaba por confianza. Nada en el protocolo original impide que un desconocido mande un mensaje diciendo que viene de tu dirección. Por eso funciona el phishing — y por eso hubo que añadirle autenticación después.

Así que Gmail, Outlook y los demás se enfrentan a la misma pregunta en cada mensaje: ¿esto viene de verdad de quien dice?

Si tu dominio no les da forma de responder, adivinan. Y cuando adivinan sobre un dominio sin historial y sin pruebas, adivinan a lo seguro. Tu presupuesto va a spam, o desaparece en silencio.

⚠️ Desde febrero de 2024, Google y Yahoo lo dejaron por escrito: quien manda correo en volumen tiene que autenticarse, o su correo se rechaza. Lo que era una buena práctica pasó a ser el requisito de entrada.

Los tres registros que responden a esa pregunta

Son registros DNS — entradas de texto asociadas a tu dominio. Juntos le dicen al servidor que recibe en qué puede confiar.

SPF — quién puede enviar

SPF (Sender Policy Framework) es la lista de servidores autorizados a enviar correo usando tu dominio.

v=spf1 include:zoho.com ~all

Eso dice: el correo de mi dominio sale de los servidores de Zoho; cualquier otro es sospechoso. Si un estafador envía desde su propio servidor haciéndose pasar por ti, SPF falla y quien recibe lo sabe.

⚠️ El error habitual: cambias de proveedor de correo y dejas el SPF antiguo, o añades un segundo. Un dominio sólo puede tener uno. Con dos, ninguno vale — y todo empieza a fallar a la vez, semanas después de un cambio que nadie relaciona.

DKIM — la prueba de que nadie lo tocó

DKIM (DomainKeys Identified Mail) firma criptográficamente cada mensaje que sale. Tu proveedor guarda una clave privada; la pública va en tu DNS. El servidor que recibe comprueba la firma.

Si coincide, quedan probadas dos cosas: el mensaje salió de verdad de tu dominio, y nadie lo modificó por el camino.

⚠️ El error habitual: el proveedor te da el registro DKIM, pero es largo y se pega mal — una clave cortada, un salto de línea, un carácter perdido. Parece configurado. Falla en silencio.

DMARC — qué hacer cuando los dos anteriores fallan

SPF y DKIM detectan una suplantación. DMARC dice qué hacer con ella.

v=DMARC1; p=quarantine; rua=mailto:[email protected]

Tres políticas:

• p=none — no hagas nada, sólo mándame informes. Por aquí se empieza.
• p=quarantine — manda lo sospechoso a spam.
• p=reject — recházalo directamente.

⚠️ Y ésta es la que casi nadie acierta: la alineación. SPF y DKIM pueden "pasar" técnicamente y aun así fallar DMARC, porque el dominio que autenticaron no es el que aparece en tu De:. Todo sale en verde en cualquier comprobador, y tu correo sigue cayendo en spam. Sólo se ve leyendo las cabeceras en crudo.

Por qué "ayer funcionaba" es una trampa

La entregabilidad no es un interruptor. Es una reputación, y se deteriora.

• Un dominio nuevo no tiene historial. Ninguna configuración de DNS arregla eso — quien recibe necesita verte enviar correo normal, en poca cantidad, durante semanas. Quien te prometa bandeja de entrada inmediata con un dominio recién creado te está vendiendo algo.
• Un solo envío malo lo estropea todo. Manda una lista comprada una vez y las quejas persiguen a tu dominio durante meses.
• Los proveedores cambian las reglas. Los requisitos de febrero de 2024 cayeron sobre miles de negocios a los que el correo "siempre les había funcionado".

Qué hacemos nosotros

No te revendemos un buzón — puedes comprarlo por unos doce dólares al año, y te diremos cuál. Lo que hacemos es la parte que decide si funciona:

• Configurar SPF, DKIM y DMARC, y comprobar que pasan la alineación — no sólo que los registros existan
• Poner DMARC en p=none al principio, leer los informes, y apretarlo cuando se vea que no está atrapando nada legítimo
• Asegurarnos de que tu dirección de respuesta recibe de verdad (una que rebota todo es en sí misma una señal negativa)
• Vigilarlo después, porque un cambio de DNS dentro de seis meses puede deshacerlo todo sin avisar

⛔ Lo que no vamos a prometer: que todos los mensajes lleguen a la bandeja. Eso lo deciden Gmail y Microsoft, y nadie lo puede garantizar. Lo que sí podemos es quitar cualquier motivo para que digan que no — y decirte honestamente cuando la respuesta sea "tu dominio es nuevo, esto necesita unas semanas" en vez de cobrarte por perseguirlo.

Mira cómo tratamos el correo dentro del hosting gestionado →