Respuesta corta: si tus correos llegan a spam, lo primero es revisar tres registros DNS de tu dominio: SPF (quién puede enviar en tu nombre), DKIM (la firma que demuestra que el mensaje no se ha alterado) y DMARC (qué hacer con lo que no supera las dos anteriores). Desde 2024 Gmail y Yahoo exigen los tres a quien envía en volumen (lo recogen las directrices de Gmail para remitentes), y el resto de proveedores los usan para decidir qué es spam.
Por qué tus correos llegan a spam
Cuando envías un correo, el servidor que lo recibe no se fía de lo que pone en el remitente: cualquiera puede escribir facturas@tudominio.com. Para decidir si el mensaje es tuyo de verdad, consulta el DNS de tu dominio. Si no encuentra pruebas, o las pruebas dicen que ese servidor no está autorizado, el correo va a spam o directamente se rechaza.
Las causas que más vemos en dominios de pymes y de clientes de agencias son estas:
- El dominio no tiene DMARC, o lo tiene en
p=noney nadie ha mirado los informes. - El SPF no incluye la herramienta con la que se envía (el CRM, la tienda online, el programa de newsletters).
- El SPF tiene errores: termina en
+all, en?all, o supera el límite de 10 consultas DNS. - No hay DKIM publicado para el servicio que envía.
- La IP del servidor de correo, o el propio dominio, está en una lista negra.
SPF: quién puede enviar en tu nombre
El SPF es un registro TXT en la raíz del dominio que enumera los servidores autorizados. Un ejemplo correcto para un dominio que envía con Google Workspace:
v=spf1 include:_spf.google.com ~allEl final importa: ~all o -all le dicen al receptor que desconfíe del resto. Un +all autoriza a cualquier servidor del mundo a enviar como tú, y es peor que no tener SPF. Lo explicamos con todos los casos en SPF mal configurado: los errores más comunes y cómo corregirlos.
Dos reglas que conviene recordar: solo puede haber un registro SPF por dominio, y el total de consultas DNS (cada include, a, mx, exists o redirect, también las de dentro de cada include) no puede pasar de 10. Si pasa, el SPF da error y es como no tenerlo.
DKIM: la firma de cada mensaje
DKIM añade una firma criptográfica a cada correo. El servidor que envía firma con una clave privada y publica la clave pública en el DNS, en un nombre como google._domainkey.tudominio.com o selector1._domainkey.tudominio.com. El receptor comprueba la firma y sabe que el mensaje viene de un servidor autorizado y que nadie lo ha modificado por el camino.
Cada servicio que envía en tu nombre (Google Workspace, Microsoft 365, Mailchimp, Brevo, tu CRM) tiene su propio selector y te da el registro que hay que publicar. Si un servicio envía sin DKIM propio, sus correos llegan a spam con mucha más facilidad.
DMARC: la política que une SPF y DKIM
DMARC es un TXT en _dmarc.tudominio.com que dice qué hacer con los correos que no superan SPF ni DKIM y adónde enviar los informes. Tiene tres niveles:
| Política | Qué hace | Cuándo usarla |
|---|---|---|
p=none | Solo observa y envía informes | Las primeras 2 a 4 semanas |
p=quarantine | Manda a spam lo que no supera la comprobación | Cuando los informes están limpios |
p=reject | Rechaza lo que no supera la comprobación | Objetivo final |
Quedarse en p=none para siempre es muy habitual y deja el dominio igual de expuesto a suplantaciones. El paso a paso está en Cómo configurar DMARC paso a paso (sin romper tu correo).
Cómo comprobar tu dominio en 5 minutos
- Consulta el TXT de la raíz de tu dominio y busca el que empieza por
v=spf1. Comprueba que solo hay uno y cómo termina. - Consulta
_dmarc.tudominio.comy mira qué política tiene. - Pide a tu proveedor de correo el selector DKIM y comprueba que el registro existe y que la clave (
p=) no está vacía. - Envíate un correo a una cuenta de Gmail, abre «Mostrar original» y revisa que SPF, DKIM y DMARC salen como PASS.
- Comprueba si la IP de tu servidor de correo aparece en Spamhaus, SpamCop o Barracuda.
Si en el paso 5 sale algo, sigue la guía Tu dominio o tu IP está en una lista negra de spam: cómo salir.
Los errores que más vemos
- Dos registros SPF porque se añadió uno nuevo en lugar de editar el existente. El resultado es un error y ningún SPF válido.
- La newsletter o la tienda online envían sin estar en el SPF ni tener DKIM propio.
- DMARC copiado de un tutorial con una dirección de informes que nadie lee.
- Cambios de DNS al migrar de hosting que borran el MX, el SPF o el DKIM sin que nadie se dé cuenta hasta que llegan las quejas.
Para agencias: vigilarlo en todos los dominios de tus clientes
Revisar el DNS de cada cliente a mano no escala, y los problemas de correo suelen aparecer después de un cambio que no hiciste tú. Jeffrey revisa el correo de cada dominio cada 6 horas y abre un aviso cuando:
- el dominio recibe correo (tiene MX) y no publica DMARC, o lo tiene en
p=none; - el SPF termina en
+all(crítico), en?allo sinall, o supera las 10 consultas DNS; - no encuentra DKIM en ninguno de los selectores habituales (Google, Microsoft, Mailchimp, Zoho, Proton y otros);
- la IP de la web, la de los servidores de correo o el propio dominio aparecen en Spamhaus, SpamCop, Barracuda o SURBL;
- alguien cambia los servidores DNS o el MX del dominio.
Así os enteráis vosotros antes de que el cliente os diga que sus presupuestos no llegan.
Preguntas frecuentes
¿Necesito SPF, DKIM y DMARC si solo envío correos normales?
Sí. No depende del volumen: los proveedores los usan para decidir si un mensaje es legítimo. Sin ellos, cualquier correo tuyo tiene más probabilidades de acabar en spam y cualquiera puede suplantar tu dominio.
¿Cuánto tarda en notarse el cambio?
Los registros DNS se propagan en minutos u horas. La reputación del dominio tarda más: si llevabas tiempo con problemas, cuenta con unos días hasta que los correos vuelvan a entrar en la bandeja principal.
¿Qué pasa si mi dominio no envía correo?
Publica igualmente un SPF v=spf1 -all y un DMARC p=reject. Así nadie podrá usar tu dominio para enviar spam o phishing.
¿Por qué siguen llegando a spam si todo da PASS?
Entonces el problema suele estar en el contenido, en la reputación de la IP o en el volumen de envío. Revisa las listas negras y evita enviar newsletters desde el mismo servidor que el correo del día a día.