Conectar Google Workspace

Módulo 7: Conectar servicios externos · Tiempo de lectura: 8 minutos

Objetivo de aprendizaje: Después de esta lección podrá colocar los registros DNS para Google Workspace y comprobar que están bien configurados.

Conceptos clave: TXT de verificación (google-site-verification=), MX smtp.google.com, conjunto ASPMX antiguo, SPF include:_spf.google.com, TXT de DKIM google._domainkey, consola de administración de Google

Lo que Google necesita de su DNS

Google Workspace (Gmail, Calendar y Drive con su propio dominio) funciona a grandes rasgos igual que Microsoft 365, visto en la lección 7.1. Debe configurar cuatro cosas en el DNS:

1. verificación: demostrar que el dominio es suyo;
2. MX: hacer que el correo llegue a Google;
3. SPF: dar permiso a Google para enviar correo en nombre de su dominio;
4. DKIM: una firma para su correo.

Después viene DMARC (lección 4.5). Un registro autodiscover como el de Microsoft no es necesario para Gmail.

Aquí también se aplica: copie los valores de la consola de administración de Google para su dominio. Google ajusta las instrucciones de vez en cuando. Los ejemplos siguientes son correctos en el momento de escribir esta lección.

Paso 1: verificación con un registro TXT

Al añadir su dominio, Google le da un código. Ese código lo coloca como registro TXT en el dominio raíz (apex):

example.com.   3600   IN   TXT   "google-site-verification=AbCdEf123456..."

Google Search Console utiliza el mismo tipo de registro. Si ya tiene un código ahí, el nuevo puede añadirse sin problema junto al anterior. Se permiten varios registros TXT en @; solo SPF puede aparecer una única vez (lección 4.2).

Google también puede ofrecer un registro CNAME para la verificación, con un nombre que parece un código largo. Elija lo que sea más fácil en su panel. Ambos funcionan.

Paso 2: el MX hacia Google

Desde 2023, Google indica para los dominios nuevos un único registro MX:

example.com.   3600   IN   MX   1 smtp.google.com.

¿Se encuentra con un conjunto de cinco registros en manuales antiguos o en dominios ya existentes? Ese conjunto sigue funcionando:

example.com.   3600   IN   MX   1  aspmx.l.google.com.
example.com.   3600   IN   MX   5  alt1.aspmx.l.google.com.
example.com.   3600   IN   MX   5  alt2.aspmx.l.google.com.
example.com.   3600   IN   MX   10 alt3.aspmx.l.google.com.
example.com.   3600   IN   MX   10 alt4.aspmx.l.google.com.

No es necesario convertir un conjunto antiguo que ya funciona. Eso sí, elija una de las dos opciones y no las mezcle con registros MX de su proveedor anterior.

Al igual que con Microsoft, se aplica lo siguiente:

• Elimine los registros MX antiguos. Si los deja, parte de los remitentes los probará igualmente, por ejemplo si Google no responde en ese momento. Ese correo llegará entonces al lugar antiguo.
• Desactive la entrega local en su proveedor de alojamiento web. Si su sitio web funciona en un proveedor de alojamiento que también ofrece correo, ese servidor puede seguir entregando localmente el correo de sus propios formularios. En DirectAdmin esto corresponde a la casilla "Usar este servidor para gestionar mis correos electrónicos".

El número delante del servidor de correo (1) es la prioridad. Con un único registro MX ese número no importa; copie lo que indique Google (lección 4.1).

Paso 3: completar el SPF

Google quiere figurar en su registro SPF con:

include:_spf.google.com

Fíjese en el guion bajo delante de spf. Complete su registro SPF existente en lugar de crear uno segundo:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:_spf.google.com ~all"

Si ya no usa su proveedor de alojamiento web para enviar correo, puede eliminar include:spf.hosting.example. Si tiene dudas, déjelo: un formulario de contacto en su sitio web suele enviar correo a través del servidor web.

Paso 4: DKIM con un registro TXT

En Google, DKIM es un registro TXT con una clave pública, y no un CNAME como en Microsoft. Primero debe crear la clave en la consola de administración (en la configuración de Gmail, en el apartado de verificación de correo electrónico). Google le da entonces:

google._domainkey.example.com.   3600   IN   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

• El nombre es google._domainkey. google es el selector (lección 4.4). Puede elegir otro selector en la consola de administración; entonces el nombre cambiará en consecuencia.
• El valor es largo. En la consola de administración, elija preferiblemente una clave de 2048 bits. Algunos paneles no pueden guardar un valor TXT de más de 255 caracteres; en ese caso elija 1024 bits, o utilice un panel que divida automáticamente los valores largos en fragmentos.
• Pegue el valor de una sola vez, sin espacios adicionales ni saltos de línea.

Una vez que el registro esté publicado, haga clic en la consola de administración en el botón para iniciar la firma. Solo entonces Google firmará su correo. Si en un correo de prueba en Gmail, al ver "Mostrar original", aparece DKIM con PASS y d=example.com, significa que ha funcionado.

Los registros DKIM de distintos servicios no interfieren entre sí, porque cada selector tiene su propio nombre. Por tanto, una clave de su proveedor de alojamiento web (por ejemplo x._domainkey) puede seguir existiendo junto a google._domainkey.

Paso 5: DMARC

Gmail es una de las partes que, desde 2024, espera un registro DMARC de los grandes remitentes. Si todavía no tiene un registro DMARC, empiece con p=none y una dirección para los informes, y vaya reforzándolo más adelante (lección 4.5):

_dmarc.example.com.   3600   IN   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

En la práctica: así se ve en un panel

En el panel de ejemplo Mi WebOké, en la pestaña DNS elija Configuración rápida para Google Workspace. Verá de antemano el MX y el añadido al SPF, y la entrega local se desactivará. El código de verificación y la clave DKIM se los proporciona Google; usted los añade como registro TXT. En DirectAdmin, en MX Records elija la plantilla Google Workspace y desmarque la casilla de entrega.

En otros paneles, como cPanel, Plesk, Cloudflare o la pantalla de DNS de su registrador, los botones se llaman de otra forma, pero usted rellena los mismos campos: nombre, tipo, valor y TTL. Algunos registradores tienen una plantilla lista para Google.

Resumen

• Copie los valores de la consola de administración de Google.
• Verificación: TXT google-site-verification=... en @ (o el CNAME que ofrece Google).
• MX: 1 smtp.google.com.; el conjunto antiguo de cinco registros ASPMX también funciona. Elimine los registros MX de su proveedor anterior.
• SPF: añada include:_spf.google.com al registro existente.
• DKIM: TXT en google._domainkey, y después active la firma en la consola de administración.

Cuestionario

Ejercicio

Ejercicio Z7.2: Reconocer Google Workspace. Compare la forma antigua y la nueva de configurar el correo de Google.

1. Busque el registro MX de google.com. Anote el nombre del servidor de correo.
2. Busque los registros MX de shopify.com. Esta empresa utiliza el correo de Google con el conjunto antiguo. ¿Cuántos registros MX ve, y qué nombre tiene la prioridad más baja (el número más bajo)?
3. Busque el registro SPF de google.com y anote el include.

Introduzca sus respuestas. La comprobación consulta los registros en tiempo real al entregarse.

Ejercicio O7.2: Configurarlo usted mismo en su zona de práctica. Conecte su zona de práctica <code>.dnspractice.eu a un Google Workspace simulado. En la zona de práctica usará el servicio ficticio mailsuite-demo.dnspractice.eu; en su dominio real copiará los valores de la consola de administración de Google.

1. Verificación: coloque un registro TXT en <code>.dnspractice.eu con el código que le da la página del ejercicio (google-site-verification=oefen-<code>-<...>).
2. MX: haga que <code>.dnspractice.eu reciba el correo en smtp.mailsuite-demo.dnspractice.eu. con prioridad 1. No puede haber ningún otro MX en <code>.dnspractice.eu, tampoco de un ejercicio anterior.
3. SPF: asegúrese de que el registro SPF en <code>.dnspractice.eu contenga include:_spf.mailsuite-demo.dnspractice.eu. Solo puede haber un registro SPF.

Para saber más

Estas páginas describen los pasos en los paneles de WebOké (DirectAdmin y Mi WebOké). En otros paneles funciona de la misma manera.

• Manual de DirectAdmin 5.10: E-mail con Microsoft 365 o Google Workspace, sitio web en WebOké
• Manual de WebOké 5.6: Configurar el correo rápidamente en el DNS
• Su correo electrónico en otro lugar: Microsoft 365, Google Workspace o un servidor de correo propio
• Manual de DirectAdmin 5.8: Activar y comprobar DKIM
• Manual de DirectAdmin 5.5: Registros MX: ¿dónde llega su correo electrónico?