Las cotizaciones no rebotan ni marcan error: simplemente terminan en la carpeta de spam de Gmail o de Outlook. El servidor de correo funciona bien y aun así nadie las ve. Cuando pasa esto, el problema casi siempre está en el DNS.
Desde febrero de 2024, Google y Yahoo exigen que todo correo que reciben venga autenticado, y a quien envía en volumen le piden los tres registros: SPF, DKIM y DMARC. Microsoft aplicó reglas parecidas en Outlook en 2025. Si a tu dominio le falta alguno, tus correos empiezan con desventaja.
SPF: quién puede enviar en tu nombre
SPF es una lista pública de los servidores autorizados para enviar correo con tu dominio. Cuando Gmail recibe un mensaje de [email protected], consulta esa lista. Si el servidor que lo envió no aparece, desconfía.
tuempresa.com. TXT "v=spf1 include:_spf.tuproveedor.com -all"El error más común es tener dos registros SPF, por ejemplo uno del proveedor de correo y otro que agregó quien configuró el sitio web. Un dominio solo puede tener uno; con dos, ambos se invalidan. Si usas varios servicios que envían correo (tu buzón, tu tienda en línea, tu sistema de facturación), todos van en el mismo registro.
DKIM: la firma que prueba que nadie alteró el mensaje
DKIM agrega una firma criptográfica a cada correo. Tu proveedor la genera con una llave privada y publica la llave pública en tu DNS. El servidor que recibe el mensaje verifica la firma: si coincide, sabe que el correo salió de un servidor autorizado y que nadie lo modificó en el camino.
El registro tiene un nombre como selector._domainkey.tuempresa.com y un valor largo que empieza con v=DKIM1. No se inventa: lo da tu proveedor de correo, y hay que activarlo en su panel además de publicarlo.
DMARC: qué hacer cuando algo no cuadra
DMARC une a los dos anteriores. Le dice a los demás servidores qué hacer con un correo que dice venir de tu dominio pero no pasa SPF ni DKIM, y a dónde mandarte reportes de lo que está pasando.
_dmarc.tuempresa.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"La política p tiene tres niveles:
- none: solo observa y envía reportes. Es el punto de partida.
- quarantine: los correos que fallan van a spam.
- reject: los correos que fallan se rechazan. Es lo que impide que alguien mande facturas falsas con tu dominio.
No conviene empezar en reject. Primero se deja en none unas semanas, se leen los reportes para descubrir qué servicios envían en tu nombre y que nadie había registrado en el SPF, y luego se sube el nivel.
Cómo revisarlo en cinco minutos
En Windows, abre una terminal (tecla Windows, escribe cmd) y ejecuta:
nslookup -type=txt tuempresa.com
nslookup -type=txt _dmarc.tuempresa.comEn Mac o Linux, el equivalente es dig +short TXT tuempresa.com. Busca una línea que empiece con v=spf1 en la primera consulta y otra con v=DMARC1 en la segunda. Si no aparecen, falta configurarlas.
La prueba más rápida para DKIM es enviarte un correo a una cuenta de Gmail, abrirlo, elegir “Mostrar original” en el menú de los tres puntos y revisar que diga PASS en SPF, DKIM y DMARC.
Lo que solemos encontrar
- Dos registros SPF en el mismo dominio.
- SPF que termina en +all, que autoriza a cualquier servidor del mundo. Es peor que no tenerlo.
- DKIM publicado en el DNS pero desactivado en el panel del proveedor.
- La tienda en línea o el sistema de facturación enviando correos desde un servidor que no está en el SPF.
- Ningún registro DMARC, lo que deja tu dominio libre para que lo usen en fraudes.
Si al revisar algo no cuadra, escríbenos. Revisamos tu dominio aunque tu correo esté con otro proveedor. Muchas veces la solución es cambiar una sola línea del DNS.