Servicios de boletines y envío de correo

Módulo 7: Conectar servicios externos · Tiempo de lectura: 8 minutos

Objetivo de aprendizaje: Después de esta lección podrá conectar un servicio de boletines o de envío de correo para que sus mensajes no acaben en el spam.

Conceptos clave: verificación de dominio (autenticación), DKIM mediante CNAME, selector, inclusión SPF solo si el servicio lo pide, límite de 10 búsquedas, alineación DMARC mediante DKIM, no tocar el MX

Por qué un servicio de boletines pide registros

Un servicio de boletines como Mailchimp, Brevo o MailerLite, o un servicio de envío de facturas y confirmaciones, envía correo con su dirección como remitente, por ejemplo nieuws@example.com. Pero el correo sale de los servidores de ese servicio, no de su propio servidor de correo.

Los destinatarios como Gmail y Outlook.com comprueban entonces: ¿puede este servidor enviar correo en nombre de example.com, y es correcta la firma (lecciones 4.3 a 4.5)? Si eso no está configurado, su boletín acaba en el spam, o el servicio reescribe su remitente con una dirección propia. Por eso el servicio le pide que autentique su dominio: unos registros en su DNS.

Lo que el servicio no necesita: sus registros MX. Estos determinan a dónde va su correo entrante. Un boletín solo se envía; las respuestas llegan simplemente a su propio buzón. Por lo tanto, nunca modifique su MX para un servicio de boletines.

DKIM mediante CNAME

La mayoría de los servicios le permiten configurar DKIM con registros CNAME. El servicio guarda la clave él mismo; usted solo apunta hacia ella. Así el servicio puede sustituir la clave sin que usted tenga que hacer nada.

En el momento de escribir esto, Mailchimp usa dos registros en las cuentas más nuevas:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Las cuentas más antiguas suelen tener un único registro k1._domainkey hacia dkim.mcsv.net. Otros servicios usan otros selectores, como brevo1._domainkey o ml._domainkey. Copie exactamente lo que muestre el panel de su servicio. Los nombres y destinos varían según el servicio y la cuenta, y a veces cambian.

k2 y k3 son selectores (lección 4.4). Cada servicio tiene su propio selector, de modo que los registros no interfieren entre sí ni con la clave DKIM de su propio servidor de correo.

Tres errores que casi todo el mundo comete alguna vez

1. Nombre de dominio duplicado. Su panel suele añadir el nombre de dominio automáticamente detrás del nombre. Si introduce k2._domainkey.example.com, se convierte en k2._domainkey.example.com.example.com. Introduzca solo k2._domainkey, a menos que su panel pida expresamente el nombre completo. Debajo del campo suele indicarse cómo quedará el nombre.
2. Olvidar el punto final en el valor. Sin el punto, su panel puede convertir dkim2.mcsv.net en dkim2.mcsv.net.example.com. Algunos paneles añaden el punto automáticamente; compruebe cómo queda el registro después de guardarlo (lección 2.2).
3. TXT en lugar de CNAME. Si el servicio pide un CNAME, cree un CNAME. Un registro TXT con dkim2.mcsv.net como texto no hace nada.

SPF: solo si el servicio lo pide

Con SPF, mucha gente piensa: cualquier servicio que envíe correo debe estar en mi registro SPF. Eso no siempre es así.

SPF comprueba la dirección del sobre del correo (el Return-Path), no la dirección del remitente que usted ve. Muchos servicios de boletines, entre ellos Mailchimp, usan un dominio propio en el sobre. Su comprobación SPF se realiza entonces sobre su propio dominio, y su registro SPF no interviene en absoluto. Por eso Mailchimp no pide ninguna inclusión en su registro SPF.

Otros servicios sí usan una dirección de su dominio en el sobre, o le permiten configurar un subdominio propio (por ejemplo bounce.example.com). Estos piden una include: en su registro SPF, o un registro SPF en ese subdominio. Haga exactamente lo que pida el servicio:

• si el servicio pide una inclusión, añádala a su registro SPF existente, nunca a uno segundo (lección 4.3);
• si el servicio no la pide, no añada nada.

¿Por qué ser prudente? Un registro SPF puede provocar como máximo 10 búsquedas DNS en una comprobación. Cada include, a, mx, exists y redirect cuenta, y las inclusiones de un servicio a menudo contienen a su vez más inclusiones. Con un proveedor de alojamiento web, Microsoft 365, un servicio de boletines, un programa de contabilidad y un CRM, se supera fácilmente el límite. En ese caso todo su registro SPF queda invalidado (permerror). Elimine las inclusiones de servicios que ya no use o que no las pidan.

DMARC: aquí está la clave

DMARC (lección 4.5) aprueba un correo si SPF o DKIM se superan y coinciden con el dominio de la dirección del remitente (alineación). Con un servicio de boletines que usa un dominio propio en el sobre, SPF nunca puede alinearse con example.com. En ese caso, DMARC solo puede superarse mediante DKIM: una firma con d=example.com, que solo obtiene si ha configurado los registros CNAME.

Por eso:

1. configure primero los registros DKIM del servicio;
2. espere a que el servicio indique que su dominio está autenticado;
3. envíe una prueba a sí mismo y compruebe en las cabeceras si DKIM da pass con d=example.com;
4. solo entonces cambie su política DMARC de none a quarantine o reject.

Si todavía no tiene un registro DMARC, muchos servicios le pedirán que cree uno. Empiece con p=none (lección 4.5). Grandes destinatarios como Gmail y Yahoo exigen desde 2024 que los remitentes masivos tengan un registro DMARC.

Respuestas y rebotes

Si un lector responde a su boletín, la respuesta va a la dirección de respuesta que haya configurado en el servicio, y a través de su MX llega a su propio buzón. Los mensajes no entregados (bounces) van a la dirección del sobre y, por tanto, al servicio, que los procesa. Para esto tampoco necesita cambiar nada en su MX.

En la práctica: así se ve en un panel

En el panel de ejemplo DirectAdmin, abra Administración de DNS, haga clic en Añadir Registro, elija CNAME, introduzca en Nombre solo k2._domainkey y en Valor dkim2.mcsv.net. con el punto. Después haga lo mismo para k3. En Mi WebOké funciona de la misma manera en la pestaña DNS; la ventana muestra debajo del campo de nombre el nombre completo y avisa si falta el punto.

En otros paneles, como cPanel, Plesk, Cloudflare o la pantalla de DNS de su registrador, los botones se llaman de otra forma, pero son los mismos campos. En Cloudflare, preste atención al proxy: configure los registros para DKIM en "DNS only" (Cloudflare normalmente ya lo hace así automáticamente con los CNAME que llevan _domainkey).

Resumen

• Un servicio de boletines no necesita sus registros MX; déjelos tal cual.
• DKIM suele configurarse mediante registros CNAME con un selector propio. Copie lo que muestre su panel.
• Introduzca solo la primera parte del nombre y preste atención al punto final del valor.
• Añada una inclusión SPF solo si el servicio lo pide, en su registro existente, y manténgase por debajo de las 10 búsquedas.
• Con este tipo de servicios, DMARC se supera mediante la alineación DKIM; endurezca su política solo cuando DKIM funcione.

Cuestionario

Ejercicio

Ejercicio Z7.4: Reconocer un servicio de boletines. Observe cómo un servicio de boletines configura su propio DKIM.

1. Busque el registro CNAME de k2._domainkey.mailchimp.com y de k3._domainkey.mailchimp.com. Anote los nombres de destino.
2. Busque el registro SPF de mailchimp.com y cuente cuántas partes include: contiene.

La verificación consulta los registros en tiempo real al entregar el ejercicio.

Ejercicio O7.4: Configurarlo usted mismo en su zona de práctica. Conecte un servicio de boletines simulado a su zona de práctica <code>.dnspractice.eu. En la zona de práctica use el servicio ficticio newsletter-demo.dnspractice.eu; en su dominio real copie los valores del panel de su servicio de boletines.

1. Cree un CNAME k2._domainkey.<code>.dnspractice.eu hacia dkim2.newsletter-demo.dnspractice.eu. Preste atención al nombre: sin duplicar la zona detrás.
2. Cree un CNAME k3._domainkey.<code>.dnspractice.eu hacia dkim3.newsletter-demo.dnspractice.eu.
3. Asegúrese de que en <code>.dnspractice.eu haya exactamente un registro SPF que empiece por v=spf1 y termine en ~all o -all. No añada ninguna inclusión para este servicio.
4. Deje sus registros MX en <code>.dnspractice.eu tal cual: este servicio no los necesita.

Para seguir leyendo

Estas páginas describen los pasos en los paneles de WebOké (DirectAdmin y Mi WebOké). En otros paneles funciona de la misma manera.

• Gestionar registros DNS en Mi WebOké (con ejemplos de CNAME, TXT y servicios externos)
• Manual de DirectAdmin 5.4: Registros CNAME y el punto final
• Manual de DirectAdmin 5.8: Activar y comprobar DKIM
• Manual de DirectAdmin 5.7: Configurar y ampliar el SPF
• ¿Qué es DMARC? Explicación en lenguaje sencillo