Los correos acaban en spam: las causas y cómo corregirlas

Lo esencial

La causa casi nunca está en el contenido sino en la autenticación: el servidor receptor no puede comprobar si el correo procede realmente de vuestro dominio.
Tres registros en el DNS resuelven el problema: SPF dice quién puede enviar, DKIM firma el mensaje, DMARC fija qué ocurre si no hay coincidencia.
El orden importa. Activar DMARC en modo estricto antes de que SPF y DKIM funcionen bien bloquea vuestros propios correos.
Tras la configuración hacen falta de dos a cuatro semanas de observación antes de poder hablar de «corregido».

La pregunta aparece en casi cualquier proyecto: ¿por qué nuestros correos acaban en la carpeta de spam? La sospecha más habitual —texto demasiado publicitario, demasiados enlaces, la palabra «gratis»— se cumple en muy pocos casos. Los filtros de spam modernos valoran primero otra cosa: si el mensaje es siquiera auténtico.

Porque el protocolo de correo procede de una época en la que nadie contaba con el abuso. En su estado original, cualquier ordenador del mundo puede enviar un correo que lleve vuestro dominio como remitente. Los tres registros de los que trata este artículo cierran justamente esa brecha.

Formas luminosas atraviesan tres umbrales de comprobación transparentes; algunas se desvían — Tres comprobaciones antes de que un correo llegue a la bandeja. Si falla una, el receptor decide por sospecha.

Los tres registros y qué hacen

SPF, DKIM y DMARC en una frase cada uno

SPF: quién puede enviar: Un registro en el DNS que enumera qué servidores pueden enviar en nombre de vuestro dominio. El receptor consulta: ¿vino el correo de uno de esos servidores?
DKIM: ¿se ha alterado por el camino?: El servidor emisor firma el mensaje criptográficamente. La clave pública correspondiente está en el DNS. El receptor comprueba la firma.
DMARC: qué pasa si no hay coincidencia: Vuestra instrucción al receptor: no hacer nada, mover a spam o rechazar. Además, el receptor envía informes de lo que ha visto.

¿Sabías que…?

SPF y DKIM por sí solos no bastan. Cada uno comprueba solo una parte, y ambos pueden superarse mientras la dirección de remitente visible para el receptor sigue siendo falsa.

Solo DMARC vincula las comprobaciones con la dirección que se muestra en la bandeja. Por eso es el registro con el efecto real, y por eso es también el último que se pone en modo estricto.

El orden correcto

Tres formas geométricas giran hasta alinearse y un haz de luz las atraviesa — Solo cuando las tres están alineadas la comprobación pasa limpia. Antes, uno se bloquea a sí mismo.

Atención El error más frecuente es poner DMARC directamente en rechazo. Si entonces envía un servicio que aún no está en SPF —el software de contabilidad, el portal de candidaturas, el sistema de tickets—, sus correos desaparecen sin más. Sin ningún mensaje de error para el remitente.

Inventario. ¿Quién envía en vuestro nombre? Suele ser más de lo que se piensa: el proveedor de correo, la herramienta de newsletter, el CRM, el servidor web para las confirmaciones de formulario, la contabilidad. Cada uno debe estar en SPF.
Poner SPF. Un único registro por dominio que enumere todos los emisores autorizados. Varios registros SPF son un error y hacen que la comprobación ni siquiera se ejecute.
Configurar DKIM. Activarlo en cada servicio de envío y poner en el DNS la clave que facilite. Cada servicio recibe la suya.
Arrancar DMARC en modo observación. Primero con la instrucción «no hacer nada» y una dirección para los informes. Dejarlo funcionar de dos a cuatro semanas.
Analizar los informes. Muestran qué emisores no pasan. Si falta alguno en SPF o DKIM, añadirlo ahora.
Solo entonces endurecer. De «no hacer nada» a «a spam» y más tarde a «rechazar». Entre pasos, dos semanas de observación cada vez.

Cómo comprobar el estado actual

Antes de cualquier cambio debe quedar claro qué rige ahora. Dos vías, ambas sin software adicional:

A través de un correo recibido. Abrid un correo de vuestro propio dominio en cualquier bandeja y mostrad las cabeceras completas. Allí, en una línea llamada Authentication-Results, pone si SPF, DKIM y DMARC se han superado. Tres veces «pass» significa: la técnica está bien.

A través de una consulta DNS. En cualquier ordenador con línea de comandos se pueden consultar los registros directamente. Así se ve lo que está publicado de verdad, no lo que debería poner en el panel de administración.

Comandos de comprobación

# Ver SPF
nslookup -type=TXT vuestro-dominio.es

# Ver DMARC
nslookup -type=TXT _dmarc.vuestro-dominio.es

# Ver DKIM (selector según el servicio, aquí de ejemplo "standard")
nslookup -type=TXT standard._domainkey.vuestro-dominio.es

Si en DMARC no vuelve nada, el registro no existe. Es el hallazgo más frecuente y a la vez el más fácil de corregir.

Cuando la técnica está bien y aun así falla

Si la autenticación está limpia y la entrega sigue siendo mala, entran en juego otras cuatro causas.

Dominio nuevo sin historial de envío

Un dominio que nunca ha enviado se considera desconocido. Quien el primer día envía diez mil correos se ve frenado, y con razón.

Qué ayuda: subir el volumen a lo largo de dos a cuatro semanas, empezando por los destinatarios más implicados.

Se reconoce por: mala entrega solo en envíos grandes

Direcciones antiguas e inactivas en la lista

Los destinatarios que llevan un año sin abrir nada son una señal negativa. Algunas direcciones dadas de baja son incluso reutilizadas por los proveedores como trampas.

Qué ayuda: quien lleve doce meses sin abrir nada recibe un último correo, y después se elimina.

Se reconoce por: caída de la tasa de apertura a lo largo de meses

Envío desde una dirección compartida

En los servicios de envío económicos, muchos clientes comparten los mismos servidores de salida. La reputación de esos servidores depende entonces también del comportamiento de los demás.

Qué ayuda: a partir de algunas decenas de miles de correos al mes, una dirección de envío propia; por debajo rara vez es rentable.

Se reconoce por: caídas repentinas sin cambios propios

Falta de baja en las cabeceras

Los grandes proveedores esperan en los envíos masivos una baja que funcione con un clic y esté depositada técnicamente en las cabeceras, no solo como enlace en el pie.

Qué ayuda: activarlo en la herramienta de envío; la mayoría lo admite, pero no todas de forma predeterminada.

Se reconoce por: problemas especialmente con los grandes proveedores de correo gratuito

Desde la práctica

Al montar nuestro propio envío respetamos el orden y aun así cometimos un error: el servidor no podía escribir al principio su registro de envío, porque los permisos de archivo no lo permitían. Enviábamos con éxito, pero sin prueba.

Nos dimos cuenta solo cuando quisimos comprobar a qué dirección había ido realmente un correo de prueba. La lección: el registro no es un accesorio. Sin él no se puede demostrar en caso de duda qué ha ocurrido, y de eso se trata exactamente cuando un cliente dice que no ha recibido nada.

Consejo Montad para el envío un subdominio propio, por ejemplo mail.vuestro-dominio.es. Así la reputación del envío de marketing queda separada de la de vuestra correspondencia comercial normal. Si algo sale mal en un envío, no se ve afectada de golpe toda la comunicación de la empresa.

Conclusión

La entregabilidad no es un problema de texto sino de prueba. Quien pone los tres registros en el orden correcto resuelve con ello la inmensa mayoría de los casos, y de forma duradera, porque se trata de una configuración única.

El esfuerzo es de pocas horas repartidas en cuatro a seis semanas, porque las fases de observación forman parte. Quien se las salta y pasa directamente al modo estricto ahorra esas semanas y arriesga a cambio que correos importantes desaparezcan en silencio.

Preguntas frecuentes

¿Por qué mis correos acaban en la carpeta de spam?

En la inmensa mayoría de los casos, porque el servidor receptor no puede comprobar si el mensaje procede realmente de vuestro dominio. Para eso hacen falta tres registros DNS: SPF, DKIM y DMARC. Que sea por el contenido es bastante menos frecuente de lo que se supone.

¿Qué son SPF, DKIM y DMARC?

SPF enumera qué servidores pueden enviar en vuestro nombre. DKIM firma cada mensaje criptográficamente para que se noten las alteraciones. DMARC vincula ambas comprobaciones con la dirección de remitente visible y fija qué debe hacer el receptor si no hay coincidencia.

¿En qué orden se configuran?

Primero SPF, luego DKIM, luego DMARC en modo observación. Tras dos a cuatro semanas, analizar los informes, añadir los emisores que falten y solo entonces endurecer DMARC por pasos. Quien pone DMARC en modo estricto primero bloquea sus propios correos.

¿Cómo compruebo si los registros son correctos?

Lo más rápido, en las cabeceras completas de un correo recibido: en la línea Authentication-Results debe poner «pass» en SPF, DKIM y DMARC. De forma complementaria, los registros se pueden ver directamente con una consulta DNS.

¿Cuánto tarda en surtir efecto un cambio?

Los cambios de DNS son visibles, según la configuración, entre minutos y 24 horas. La reputación de un dominio mejora más despacio: contad con dos a cuatro semanas antes de que la tasa de entrega se mueva de forma medible.

¿Hace falta un subdominio propio para el envío?

No es obligatorio, pero es sensato. Separa la reputación del envío de marketing de la de vuestra correspondencia comercial normal. Si algo sale mal en un envío, no se ve afectada toda la comunicación de la empresa.