Si los correos de tu dominio no llegan, caen en spam o alguien está enviando mensajes falsos en tu nombre, la causa casi siempre está en cuatro registros DNS: MX, SPF, DKIM y DMARC. Desde 2024, Gmail y Yahoo exigen estos registros a quienes envían muchos correos, y en la práctica todos los proveedores empezaron a valorarlos.
MX: quién recibe tus correos
El registro MX indica a qué servidor deben entregarse los mensajes enviados a tu dominio. Sin él, nadie puede enviar correos a tu@tudominio.com.
Ejemplo: 10 mx1.provedor.com y 20 mx2.provedor.com. El número es la prioridad: el menor se intenta primero y el otro sirve de respaldo.
Errores comunes: MX apuntando al hosting anterior después de una migración, o a una IP en lugar de un nombre. El MX siempre debe apuntar a un nombre que tenga registro A.
SPF: quién puede enviar en tu nombre
El SPF es un registro TXT que enumera los servidores autorizados a enviar correo con tu dominio. El servidor que recibe el mensaje comprueba si vino de una de esas direcciones.
Ejemplo: v=spf1 include:_spf.google.com include:servidor-del-sitio.com -all
include:autoriza los servidores de un servicio, como Google Workspace o un servicio de email marketing.-allal final indica rechazar lo que no esté en la lista.~alles más suave y lo marca como sospechoso.
Errores comunes: tener dos registros SPF (solo puede haber uno; júntalo todo en una línea), olvidar incluir el servicio que envía los correos del sitio o de la tienda, y superar el límite de 10 consultas de include.
DKIM: la firma digital
El DKIM firma cada mensaje con una clave secreta guardada en el servidor de envío. La clave pública correspondiente se publica en el DNS, en un registro TXT con un nombre como selector._domainkey.tudominio.com. Quien recibe comprueba la firma y tiene la garantía de que el mensaje no fue alterado y salió de un servidor autorizado.
No creas la clave a mano: el servicio de correo (Google Workspace, Microsoft 365, el panel del hosting) genera el registro y tú solo lo copias al DNS. Cada servicio que envía en tu nombre tiene su propio selector.
DMARC: la política y los reportes
El DMARC une todo. Les dice a los proveedores qué hacer cuando un mensaje falla en SPF y DKIM, y adónde enviar reportes. Va en un registro TXT con el nombre _dmarc.tudominio.com.
Ejemplo inicial seguro: v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com
p=none: solo observa y envía reportes. Empieza por aquí.p=quarantine: manda a spam lo que falle.p=reject: rechaza lo que falle. Es la máxima protección contra quien intenta hacerse pasar por tu dominio.
El camino recomendado es empezar con none, seguir los reportes durante algunas semanas hasta estar seguro de que todos los servicios legítimos pasan, y luego subir a quarantine y después a reject.
Cómo revisar tu dominio
- En la consulta de DNS, escribe tu dominio y mira los registros MX y TXT. El SPF es la línea que empieza con
v=spf1. - Para ver el DMARC, consulta el nombre
_dmarc.tudominio.comy busca el TXT que empieza conv=DMARC1. - Si los correos salen de un servidor propio, revisa también el DNS inverso de la IP y si está en alguna lista negra.
Resumen
- MX: adónde llegan los correos.
- SPF: quién puede enviar.
- DKIM: firma que prueba el origen.
- DMARC: qué hacer cuando algo falla, y reportes.
Con los cuatro configurados, tus correos tienen muchas más probabilidades de llegar a la bandeja de entrada, y es mucho más difícil que alguien se haga pasar por tu dominio.