Cómo evitar que tus correos corporativos caigan en spam: SPF, DKIM y DMARC explicados fácil

Durante muchos años, cualquier servidor podía enviar un correo electrónico alegando ser cualquier remitente. Los ciberdelincuentes aprovecharon esta debilidad técnica para enviar millones de correos de suplantación de identidad (phishing) haciéndose pasar por bancos o empresas reales.

Para frenar esta situación, los principales proveedores de correo mundial (encabezados por Google Gmail, Yahoo y Microsoft Outlook) implementaron normativas estrictas: todo dominio que envíe correos sin autenticación digital demostrable es clasificado automáticamente como spam o directamente rechazado con error 550.

El registro SPF funciona exactamente como la lista de invitados a una reunión: le indica a los servidores de todo el mundo cuáles son las direcciones IP o servidores autorizados a despachar correos en nombre de tu dominio.

Se publica como un registro de tipo TXT en la zona DNS de tu dominio. Por ejemplo:

¿Qué significa cada parte?

• v=spf1: Identifica la versión del protocolo SPF.
• include:_spf.mesi.com.ar: Autoriza a los servidores de correo de MESI a enviar mensajes con tu nombre de dominio.
• ~all (SoftFail): Indica a los receptores que, si un correo proviene de un servidor fuera de esta lista, lo acepten con cautela o lo clasifiquen como spam. Si se usa -all (HardFail), se ordena el rechazo total del mensaje no autorizado.

Mientras que el SPF valida qué servidor envió el correo, DKIM certifica que el contenido del mensaje no fue alterado ni interceptado en el camino.

Funciona mediante criptografía de clave pública y privada:

1. Cuando despachás un correo, tu servidor firma el encabezado del mensaje con una clave privada secreta.
2. El servidor del receptor (por ejemplo, Google) consulta tu zona DNS para obtener la clave pública (publicada en un registro TXT bajo un nombre como default._domainkey.tudominio.com).
3. Si ambas claves coinciden matemáticamente, el receptor confirma que el mensaje es 100% auténtico y no fue modificado por terceros.

Al contar con DKIM, los clientes de correo muestran el remitente verificado y eliminan los molestos carteles amarillos de advertencia de seguridad.

DMARC (Domain-based Message Authentication, Reporting and Conformance) es la instrucción ejecutiva que vincula SPF y DKIM. Le indica al servidor receptor qué hacer si un correo que dice ser de tu empresa no supera las validaciones.

También se publica como un registro DNS de tipo TXT bajo el nombre _dmarc.tudominio.com:

Las tres políticas posibles (parámetro p=):

• p=none (Monitoreo): No altera el destino del mensaje; solo te envía informes por correo para que verifiques si algún envío legítimo está fallando.
• p=quarantine (Recomendado): Ordena enviar directamente a la carpeta de correo no deseado (spam) cualquier email que no supere SPF ni DKIM.
• p=reject (Máxima seguridad): Ordena bloquear y rebotar de inmediato cualquier mensaje fraudulento antes de que llegue al destinatario.

Tener los registros SPF, DKIM y DMARC perfectamente configurados es un requisito obligatorio, pero existe un último factor determinante: la reputación de la dirección IP desde donde sale el correo.

En servicios de hosting web compartido económicos, cientos de usuarios comparten la misma IP de salida para sus correos. Si uno solo de esos sitios envía spam o es vulnerado por un virus, la IP entra en listas negras mundiales (RBL como Spamhaus o Barracuda), provocando que los correos de todos los demás clientes comiencen a caer en spam o a rebotar.

¿Por qué en MESI utilizamos la infraestructura de entrega de Amazon?

Para resolver definitivamente el problema de la entregabilidad, en MESI Hosting integramos la infraestructura de Amazon (AWS) para el despacho de correos en nuestras soluciones corporativas y servidores SMTP dedicados. Esto ofrece una ventaja decisiva frente a los servidores de correo convencionales:

• Acuerdos de entrega directos (feedback loops): Amazon mantiene acuerdos bilaterales y convenios de reputación directa con los gigantes del correo mundial, especialmente Microsoft (Hotmail, Outlook, Live), Google (Gmail) y Yahoo. Cuando un receptor detecta tráfico proveniente de la red de Amazon, lo identifica de inmediato como un remitente verificado y confiable.
• IPs limpias y monitoreo de reputación permanente: La red de Amazon aplica filtros estrictos para mantener sus rangos de IP totalmente libres de listas negras, asegurando que tus correos no queden rehenes de malas prácticas de terceros.
• Gestión inteligente de conexiones: Proveedores como Hotmail o Gmail aplican bloqueos temporales si un servidor intenta enviar demasiados mensajes por segundo. La red de Amazon modula y encola las conexiones de manera óptima para que ninguna comunicación comercial se retrase o rebote.