¿Tus correos de empresa llegan a spam? Cómo afectan los errores de SPF, DKIM y DMARC

Una factura, una propuesta comercial o un mensaje para restablecer una contraseña puede acabar en spam aunque sea completamente legítimo. Los proveedores de correo valoran múltiples señales, pero SPF, DKIM y DMARC son fundamentales para comprobar si el dominio remitente es fiable.

El problema se complica cuando una empresa marroquí trabaja con clientes locales e internacionales. El correo corporativo puede convivir con un CRM, una plataforma de soporte, formularios web, una tienda en línea y aplicaciones propias. Cada sistema que envía en nombre del dominio debe estar identificado y autenticado.

Qué comprueba cada mecanismo

SPF, DKIM y DMARC se complementan, pero no son intercambiables. Cada uno responde a una cuestión distinta durante la evaluación del mensaje.

SPF autoriza la infraestructura de envío

SPF se publica como un registro TXT en el DNS. Su función es indicar qué servidores pueden enviar correo para un dominio. El servidor receptor compara la IP que establece la conexión con la política asociada al remitente del sobre.

Los fallos habituales aparecen al cambiar de proveedor sin actualizar el DNS, publicar varios registros SPF, olvidar un servicio externo o acumular demasiadas consultas mediante «include». El reenvío de mensajes también puede romper SPF, ya que la IP intermediaria no siempre está autorizada por el dominio original.

DKIM firma el mensaje

DKIM incorpora una firma criptográfica al correo saliente. El receptor obtiene la clave pública desde el DNS y comprueba que las partes firmadas no hayan sido alteradas durante el tránsito.

La verificación puede fallar por un selector equivocado, una clave copiada de forma incompleta, la firma desactivada en la plataforma o una modificación introducida por un intermediario. También conviene retirar selectores antiguos cuando ya no sean necesarios.

DMARC exige alineación con el remitente visible

DMARC vincula SPF y DKIM con el dominio que aparece en el campo visible «From». Para superar DMARC, al menos uno de esos mecanismos debe ser válido y el dominio que lo supera debe estar alineado con el dominio que ve el destinatario.

Además, DMARC permite indicar si los mensajes sospechosos deben observarse, ponerse en cuarentena o rechazarse. Sus informes agregados ayudan a descubrir qué servicios están utilizando el dominio.

Cómo una mala configuración perjudica la entrega

La autenticación no decide por sí sola si un mensaje llegará a la bandeja de entrada. También influyen la reputación, las quejas, el contenido, la calidad de las listas y los patrones de volumen. Sin embargo, una autenticación rota elimina una señal de confianza importante y facilita la suplantación.

• Remitente ausente en SPF: el CRM, la web o la plataforma de marketing envía desde una infraestructura no autorizada.
• Varios registros SPF: se publican políticas separadas en lugar de consolidarlas en un único registro válido.
• DKIM válido pero no alineado: el proveedor firma con su propio dominio, que no coincide con el dominio visible.
• DMARC estricto antes de tiempo: se activa el rechazo sin identificar todos los flujos legítimos.
• Registros obsoletos: una migración deja proveedores, claves y destinos de informes que ya no se usan.
• Subdominios sin controlar: los envíos transaccionales o comerciales siguen una política imprevista.

El efecto puede variar entre proveedores: algunos mensajes irán a spam, otros se aceptarán y otros serán rechazados. Una política débil deja margen para el fraude, mientras que una política estricta desplegada sin preparación puede bloquear comunicaciones reales.

Proceso práctico para encontrar el fallo

1. Inventariar todos los sistemas de envío

Incluye buzones de empleados, formularios, comercio electrónico, CRM, campañas, soporte, contabilidad, monitorización y aplicaciones personalizadas. Revisa también los servicios asociados a tus paquetes de alojamiento, porque la web suele enviar por una ruta diferente a la del correo de oficina.

2. Analizar cabeceras completas

Envía pruebas a cuentas de varios proveedores y consulta las cabeceras originales. Revisa los resultados de SPF, DKIM y DMARC, el remitente del sobre, el dominio de firma DKIM y el dominio visible. Que un control indique «pass» no basta si no existe alineación.

3. Comprobar el DNS público

Verifica la respuesta que recibe un servidor externo, no solo lo que muestra el panel administrativo. Confirma que existe una sola política SPF, que cada selector DKIM activo responde y que el registro DMARC tiene una sintaxis válida. Después de modificar el DNS, considera los tiempos de caché.

4. Interpretar los informes DMARC

Los informes agregados agrupan las IP remitentes y sus resultados de autenticación. Sirven para separar plataformas aprobadas de fuentes desconocidas o abusivas. Deben almacenarse con cuidado porque revelan información sobre proveedores e infraestructura.

5. Distinguir autenticación y reputación

Si todo está alineado pero el correo continúa en spam, investiga la reputación de dominio e IP, los cambios bruscos de volumen, las quejas, las listas inactivas, los enlaces y la relevancia del contenido. Autenticar la identidad no convierte un mensaje no deseado en uno esperado.

Cómo corregir los registros sin cortar el correo

Empieza observando antes de aplicar una política estricta. Consolida SPF alrededor de los proveedores actuales y elimina entradas antiguas solo después de comprobar que ya no se utilizan. Como SPF limita el número de consultas DNS, conviene evitar cadenas de inclusiones innecesarias.

Activa DKIM en cada plataforma compatible y utiliza, cuando sea posible, un dominio propio alineado. Documenta los selectores, sus responsables y la rotación de claves. Publica y valida una clave nueva antes de retirar la anterior.

Despliega DMARC inicialmente para obtener visibilidad, corrige los fallos legítimos y endurece la política por etapas. Los subdominios, proveedores externos y sistemas utilizados en distintos mercados deben incluirse en el plan.

Estas medidas forman parte de una estrategia más amplia de ciberseguridad. El control de acceso, la autenticación multifactor, la auditoría y la respuesta ante incidentes siguen siendo esenciales, ya que estos protocolos no impiden que un atacante utilice una cuenta realmente comprometida.

Hábitos para mantener una buena entregabilidad

• Asignar un responsable a los registros DNS y a la autenticación del correo.
• Revisar cada nueva plataforma antes de autorizar sus envíos.
• Supervisar informes DMARC y errores de entrega.
• Gestionar por separado los subdominios destinados a distintos tipos de mensaje.
• Eliminar proveedores retirados del DNS y de las aplicaciones.
• Probar mensajes transaccionales después de migraciones o cambios de infraestructura.
• Mantener listas basadas en consentimiento y procesar rápidamente las bajas.

Las empresas que atienden a clientes en Marruecos y otros países deberían probar con los proveedores que usa realmente su audiencia. La entrega puede variar según la red receptora, el mercado y el tipo de comunicación.

Conclusión: la autenticación también es infraestructura

SPF, DKIM y DMARC no son ajustes que se publican y se olvidan. Deben actualizarse cuando la empresa incorpora un proveedor, cambia de alojamiento, lanza una aplicación o migra el correo. La secuencia más segura es inventariar, validar la alineación, observar informes y aplicar políticas más estrictas de manera gradual.

Si los mensajes legítimos se rechazan o desaparecen en spam, no cambies varios registros a ciegas. Guarda la configuración actual, reúne cabeceras e informes, identifica cada remitente autorizado y prueba las correcciones una a una. Para revisar toda la ruta de envío y preparar una solución, puedes contactar con el equipo de developer.ma.