Tus correos acaban en spam: SPF, DKIM y DMARC explicados sin tecnicismos

Es una de las llamadas que más recibimos: «he enviado el presupuesto tres veces y el cliente dice que no le ha llegado». Se revisa la bandeja de enviados, el correo está ahí, y aun así el destinatario no lo ve. O lo encuentra días después en la carpeta de spam.

Cuando esto pasa de forma repetida, el problema casi nunca es el contenido del mensaje. Es que el servidor del destinatario no tiene forma de comprobar que ese correo lo has enviado tú de verdad. Y ante la duda, lo aparta.

Por qué el correo necesita "documentación"

El correo electrónico se diseñó en una época en la que nadie pensaba en el fraude. Por diseño, cualquiera puede escribir en el remitente lo que quiera: es tan fácil como poner un nombre falso en el sobre de una carta. De ahí vienen los correos que parecen venir de tu propio dominio pidiendo un cambio de número de cuenta.

Para compensarlo se añadieron tres mecanismos que funcionan como la documentación del envío. Los tres viven en el DNS de tu dominio, es decir, en la misma configuración donde se indica dónde está tu web.

SPF es la lista de quién tiene permiso para enviar correo en tu nombre. Si usas Microsoft 365, Google Workspace, un servidor propio, un formulario de la web y una herramienta de newsletter, todos ellos deben estar en esa lista. Si falta uno, sus correos quedan como sospechosos.

DKIM es una firma. Tu servidor firma cada mensaje con una clave, y el destinatario comprueba esa firma contra la clave pública publicada en tu dominio. Si cuadra, sabe que el mensaje salió de donde dice y no se ha manipulado por el camino.

DMARC es la instrucción de qué hacer cuando algo no cuadra: ignorarlo, mandarlo a spam o rechazarlo directamente. Además permite recibir informes de quién está intentando enviar correo usando tu dominio, algo muy útil para detectar suplantaciones antes de que un cliente pique.

Cómo saber si lo tienes bien

La comprobación no requiere ser técnico. Envía un correo desde tu cuenta de empresa a una dirección de Gmail y, en el mensaje recibido, abre la opción de mostrar el original o los detalles. Verás tres líneas con SPF, DKIM y DMARC y un resultado: pass o fail. Si algo aparece como fail o directamente no aparece, ahí está el trabajo pendiente.

Hay otro síntoma habitual: los correos llegan bien cuando escribes desde el ordenador, pero no cuando los envía la web (el formulario de contacto, las facturas del programa de gestión, los avisos de la tienda online). Es el caso clásico de un remitente legítimo que se quedó fuera de la lista.

Qué hacer, por orden

1. Haz inventario de quién envía correo con tu dominio. Correo corporativo, web, ERP o programa de facturación, plataforma de newsletter, herramientas de firma digital. Todo cuenta.
2. Ajusta el SPF para incluirlos a todos. Un solo registro, sin duplicados: dos SPF en el mismo dominio se anulan entre sí y es un error muy frecuente.
3. Activa DKIM en tu proveedor de correo. Casi todos lo ofrecen; hay que activarlo y publicar la clave en el DNS.
4. Empieza con un DMARC suave (solo informes), revisa qué llega durante unas semanas y luego endurécelo. Ir directo a rechazar sin comprobar antes puede tumbar correos legítimos.
5. Documenta los cambios. Cuando dentro de dos años cambies de plataforma de facturación, agradecerás saber qué había puesto y por qué.

Bien configurado, esto tiene un doble efecto: tus correos llegan y, a la vez, a un estafador le resulta mucho más difícil hacerse pasar por tu empresa ante tus propios clientes.

Si quieres que revisemos cómo está tu dominio y lo dejemos en orden, hablamos.