Por qué el correo acaba en spam

Módulo 4: Entregabilidad: SPF, DKIM y DMARC en la práctica · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Tras esta lección podrá nombrar las cuatro capas en las que un destinatario evalúa un correo entrante, explicar por qué "a mí me llega bien" no demuestra nada, y determinar mediante una prueba en qué capa se encuentra un problema.

Conceptos clave: entregabilidad (deliverability), entrega frente a bandeja de entrada, limpieza técnica, autenticación (SPF, DKIM, DMARC), alineación, reputación de IP, reputación de dominio, contenido, comportamiento de los destinatarios (quejas, apertura, eliminación), filtros por destinatario, Authentication-Results, correo de prueba, herramientas de medición

Entregado no es lo mismo que llegado

Si su servidor ha transferido un correo al servidor del destinatario, y este respondió con 250 OK, el correo ha sido entregado. Con esto todavía no sabe si está en la bandeja de entrada. El servidor receptor puede colocarlo después en la carpeta de spam, en una pestaña "Promociones", en cuarentena, o incluso descartarlo silenciosamente.

La entregabilidad (en inglés deliverability) trata sobre ese segundo paso: ¿llega su correo donde debe? Y eso lo decide cada destinatario por su cuenta. Gmail pondera de forma distinta a Microsoft, y una empresa con su propio filtro de spam lo hace de otra manera aún. No existe una lista central de reglas. Sin embargo, las capas sobre las que se evalúa son más o menos las mismas en todas partes.

Capa 1: limpieza técnica

Antes de que un filtro examine el contenido, examina la conexión:

• ¿Tiene la dirección IP del servidor remitente un DNS inverso (PTR) correcto, que apunte de vuelta a la misma dirección? (Lección 5.1.)
• ¿Se presenta el servidor correctamente con un nombre real en EHLO?
• ¿Está cifrada la conexión con TLS?
• ¿Cumple el servidor las reglas de SMTP, y lo intenta de nuevo tras un rechazo temporal?

En un buzón de una empresa de hosting o de un gran proveedor de correo, esto casi siempre está en orden. Se convierte en un problema cuando usted mismo gestiona un servidor, como un VPS que envía correo directamente, o una impresora o cámara que envía correo por sí misma.

Capa 2: autenticación

Esta es la capa sobre la que usted, como administrador del dominio, más control tiene, y de la que trata este módulo:

• SPF (lección 4.2): ¿puede este servidor enviar correo en nombre del dominio?
• DKIM (lección 4.3): ¿está firmado el correo, y es correcta la firma?
• DMARC (lección 4.4): ¿corresponde la comprobación superada con el dominio de la dirección De (alineación), y qué debe hacer el destinatario si no es así?

La base de estos tres registros se encuentra en el curso de DNS, módulo 4. Aquí se trata la práctica: identificar todos los servicios que envían correo en su nombre y endurecer la política paso a paso.

Si falta la autenticación, la evaluación baja. Desde 2024 y 2025, en los grandes proveedores también es un requisito estricto: Gmail, Yahoo y Microsoft exigen al menos SPF o DKIM de todos, y de los remitentes masivos exigen SPF, DKIM y DMARC con alineación. Esto se trata en detalle en la lección 5.3.

Capa 3: reputación

Un destinatario recuerda lo que recibió anteriormente de un remitente. Para ello examina:

• Reputación de IP: ¿qué se recibió anteriormente desde esta dirección IP? En el hosting compartido y los grandes proveedores de correo, muchos remitentes comparten una IP; un remitente problemático puede entonces perjudicar a todos los demás. Una IP nueva sin historial se trata con cautela.
• Reputación de dominio: ¿qué se recibió anteriormente de este dominio (el dominio de la dirección De y el dominio DKIM)? Esto pesa cada vez más, precisamente porque DKIM y DMARC hacen que un dominio sea reconocible de forma fiable. Una buena reputación de dominio se conserva aunque cambie de servidor.
• Listas de bloqueo: listas públicas de direcciones IP o dominios que enviaron spam (lección 5.2).

La reputación se construye lentamente y se pierde rápido.

Capa 4: contenido y comportamiento

Solo en último lugar un filtro examina el correo en sí, y lo que hacen los destinatarios con él:

• Contenido: enlaces a dominios con mala reputación, enlaces acortados, solo una imagen grande sin texto, archivos adjuntos con macros, un asunto que no tiene relación con el contenido, formato roto.
• Comportamiento de los destinatarios: esto pesa más que nada en los grandes proveedores de correo. Si muchos destinatarios hacen clic en "Esto es spam", su reputación baja. Si sus correos se abren, se responden o se rescatan de la carpeta de spam, esta sube. Gmail quiere que menos del 0,3% de los destinatarios marque su correo como spam, y preferiblemente menos del 0,1%.

La idea de que ciertas "palabras de spam" sueltas, como gratis u oferta, frenan su correo es en gran parte un mito. Los filtros modernos evalúan el conjunto. Un boletín con la palabra gratis de un remitente con buena autenticación y buena reputación llega sin problemas; un texto correcto desde un servidor desconocido sin SPF, no.

Por qué "a mí me llega bien" no demuestra nada

Envía un correo de prueba a su propia dirección de Gmail y aparece en la bandeja de entrada. ¿Entonces todo está bien? No necesariamente:

• Probablemente ya haya intercambiado correo con esa dirección anteriormente. Un filtro confía más en un remitente con el que ya tiene contacto.
• Un destinatario no es igual a otro. Microsoft puede rechazar un correo que Gmail acepta.
• Un correo no es lo mismo que mil. Un boletín enviado a mil direcciones se evalúa de forma distinta a un correo individual.

Un correo de prueba sí es útil, pero para leer las cabeceras (lección 1.5). Ahí figura exactamente lo que encontró el destinatario:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Aquí las tres pruebas se superan. Si aparece spf=softfail, dkim=none o dmarc=fail, sabrá en qué capa debe buscar. Así determina el problema en lugar de adivinar.

Un método en tres pasos

1. Compruebe su DNS con una herramienta que examine MX, SPF, DKIM, DMARC y listas de bloqueo. Ejemplos: la Comprobación de correo y Salud del dominio de WebOké, internet.nl, MXToolbox. Estos muestran lo que figura en el DNS, pero no cómo se evalúa un correo real.
2. Envíe un correo de prueba real a una dirección de Gmail y de Outlook.com, o a un servicio de prueba como mail-tester, y lea las cabeceras o el informe. Así verá si el correo supera realmente SPF, DKIM y DMARC en la práctica.
3. Observe la reputación y el comportamiento si la técnica es correcta: ¿figura su IP en una lista de bloqueo? ¿Envía boletines a personas que lo han solicitado? Como remitente de gran volumen puede consultar Google Postmaster Tools y Microsoft SNDS.

En la práctica: así se ve en un panel

En el sitio web de WebOké está disponible la Comprobación de correo gratuita (www.weboke.es/emailcheck): introduce un dominio y obtiene una puntuación con MX, SPF, DMARC y la comprobación de listas de bloqueo del primer servidor de correo, junto con recomendaciones. En Mi WebOké, Salud del dominio comprueba lo mismo para sus propios dominios, con botones de reparación. Son dos de muchas herramientas; internet.nl y MXToolbox realizan comprobaciones similares, y cada proveedor tiene su propia versión. Utilice varias a la vez: ninguna herramienta lo ve todo.

Resumen

• Entregado solo significa que el servidor receptor ha aceptado el correo; si llega a la bandeja de entrada lo decide el destinatario.
• Los destinatarios evalúan en cuatro capas: técnica, autenticación, reputación y contenido/comportamiento.
• La autenticación (SPF, DKIM, DMARC) está bajo su propio control y es un requisito estricto en los grandes proveedores.
• Las quejas de los destinatarios pesan más que palabras sueltas en su texto.
• Lea la cabecera Authentication-Results de un correo de prueba para ver dónde falla.

Cuestionario

Ejercicio

Ejercicio Z4.1: Pasar su dominio por la verificación de correo. Introduzca su propio dominio (o, si no dispone de uno, internet.nl). El programa comprueba el MX, el SPF, los selectores DKIM que pueda encontrar, el DMARC y la comprobación de listas de bloqueo del primer servidor de correo. A continuación, indique usted mismo: qué final de SPF tiene el dominio, qué política DMARC, y si el primer servidor de correo figura en una lista de bloqueo. El programa coloca sus respuestas junto al resultado en vivo. Explique en una frase en cuál de las cuatro capas su dominio tiene más margen de mejora.

Para seguir leyendo

Los pasos de estos artículos corresponden a los paneles de WebOké; en otros proveedores el funcionamiento es similar.

• Manual de WebOké 7.4: El correo no llega: cómo comprobarlo usted mismo
• Mis correos electrónicos no llegan o terminan en la carpeta de spam: así puede averiguarlo
• Manual de DirectAdmin 9.4: Mi correo llega a la carpeta de spam del destinatario
• Manual de WebOké 5.17: Salud del dominio y el correo: comprobar y solucionar
• Comprobación de correo: https://www.weboke.es/comprobar-correo
• Google, Email sender guidelines: https://support.google.com/a/answer/81126