Por qué tus correos empresariales caen en spam (y cómo SPF, DKIM y DMARC lo solucionan)

Envías un recordatorio de factura, un presupuesto o tu boletín mensual — y tu cliente nunca lo ve. Sin rebote, sin error, solo silencio. Fue a spam.

Si esto te suena familiar, no estás solo. Gmail, Yahoo y Outlook ahora rechazan o envían a la carpeta de spam el correo de dominios que no han configurado tres registros DNS: SPF, DKIM y DMARC. Desde febrero de 2024, los remitentes masivos (aproximadamente 5.000 o más mensajes al día a cuentas de Gmail) deben autenticarse con los tres, ofrecer baja en un clic y mantener las quejas de spam por debajo del 0,3%. La aplicación se intensificó durante 2025, y en 2026 incluso los remitentes empresariales de bajo volumen sienten el impacto: sin autenticación, tus presupuestos, facturas y confirmaciones de citas tienen muchas más probabilidades de ser marcados.

La buena noticia: solucionar esto toma aproximadamente una hora, no cuesta nada y mejora permanentemente la entregabilidad. Aquí está lo que hace cada registro, cómo configurarlos y los errores que mantienen a las pequeñas empresas en la carpeta de spam.

Qué hacen realmente SPF, DKIM y DMARC​

Piensa en estos tres registros como controles de identidad para tu correo. Cada uno responde a una pregunta diferente que un servidor receptor hace antes de entregar tu mensaje.

SPF: qué servidores pueden enviar por tu dominio​

SPF (Sender Policy Framework) es un registro TXT en el DNS de tu dominio que lista cada servidor autorizado para enviar correo como tú. Cuando Gmail recibe un mensaje que dice ser de [email protected], consulta tu registro SPF y verifica si la IP del servidor remitente está en la lista.

Ejemplo de registro SPF para una empresa que usa Google Workspace más una herramienta de facturación:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

• v=spf1 identifica el registro como SPF.
• Cada include: autoriza los servidores de un proveedor.
• ~all (fallo suave) indica a los receptores que traten con sospecha a los servidores no listados; -all (fallo duro) les indica que rechacen directamente.

SPF por sí solo no es suficiente, porque solo valida el remitente del sobre (la ruta de retorno oculta), no la dirección que tu cliente ve en el campo De. El reenvío también rompe SPF. Por eso también necesitas DKIM.

DKIM: una firma a prueba de manipulaciones en cada mensaje​

DKIM (DomainKeys Identified Mail) añade una firma criptográfica a los encabezados de cada mensaje saliente. Tu proveedor de envío tiene una clave privada; tú publicas la clave pública correspondiente como un registro TXT en DNS. El servidor receptor verifica la firma para confirmar que el mensaje realmente vino de tu dominio y no fue alterado en tránsito.

A diferencia de SPF, DKIM sobrevive al reenvío, lo que lo convierte en la señal más duradera de las dos. Google exige que los remitentes masivos tengan tanto SPF como DKIM en estado de aprobación, con al menos uno de ellos alineado con el dominio De.

Configurar DKIM generalmente significa:

1. Activar la firma DKIM en tu proveedor (Google Workspace, Microsoft 365, Mailchimp y herramientas similares tienen un paso de activación con un clic).
2. Copiar el registro TXT que te dan (un selector más una clave pública larga) en tu DNS.
3. Esperar la propagación y luego verificar en el panel del proveedor.

DMARC: tu política para qué hacer cuando fallan las comprobaciones​

DMARC (Domain-based Message Authentication, Reporting, and Conformance) une SPF y DKIM. Es un registro TXT en _dmarc.tudominio.com que indica a los servidores receptores qué hacer cuando un mensaje que dice ser tuyo falla la autenticación — y dónde enviarte informes al respecto.

Un registro DMARC inicial en modo de monitoreo:

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100;

• p=none significa que aún no se toma acción, solo enviar informes. Empieza aquí.
• rua= es donde van los informes agregados. Usa un buzón que realmente revises.
• Una vez que el correo legítimo pase de manera consistente, pasa a p=quarantine (enviar fallos a spam) y luego a p=reject (bloquearlos). Esa progresión es lo que evita que los suplantadores se hagan pasar por tu dominio.

DMARC también requiere alineación: el dominio en el encabezado De debe coincidir con el dominio que pasó SPF o DKIM. Este es el paso que muchas empresas omiten: SPF y DKIM pueden mostrar "pass" mientras DMARC aún falla porque los dominios no coinciden.

Las reglas de Gmail y Yahoo que debes cumplir​

Incluso si nunca envías 5.000 mensajes al día, trata estas como tu base. Gmail cuenta todo el correo del mismo dominio principal (incluidos subdominios) hacia el umbral masivo, el estado masivo nunca expira una vez asignado, y se espera que cada remitente — masivo o no — se autentique.

Aquí está la lista de verificación práctica para 2026:

• Autentica con SPF o DKIM como mínimo; ambos si envías en masa. Los remitentes masivos necesitan SPF y DKIM más un registro DMARC publicado (al menos p=none) con alineación del dominio De.
• Mantén las quejas de spam por debajo del 0,3%. Google Postmaster Tools muestra tu tasa; tasas sostenidas por encima del 0,3% activan el filtrado. Apunta a mantenerte muy por debajo del 0,1%.
• Facilita la baja en el correo de marketing. Incluye un encabezado List-Unsubscribe visible que admita baja en un clic y cumple las solicitudes dentro de dos días.
• Usa DNS directo e inverso válidos y un dominio De consistente. No envíes correo empresarial desde direcciones de buzones gratuitos o nombres De que cambian constantemente.
• No suplantes encabezados de Gmail ni compres listas. El correo no solicitado genera las quejas que hunden tu reputación más rápido.

Yahoo y Outlook aplican sustancialmente el mismo conjunto, por lo que una configuración correcta cubre los tres.

Configurándolo todo en aproximadamente una hora​

No necesitas ser técnico para hacer esto — solo necesitas acceso a tu host DNS (donde compraste tu dominio o donde apuntan tus servidores de nombres) y acceso de administrador a tu proveedor de correo.

Paso 1: Inventario de quién envía correo como tú​

Lista cada servicio que envía correo usando tu dominio: tu proveedor de buzones, el formulario de contacto de tu sitio web, tu sistema de facturación o reservas, tu herramienta de boletines, tu CRM. Cada uno debe estar en SPF o cubierto por su propia firma DKIM. Omite uno y su correo comienza a fallar.

Paso 2: Publica SPF sin romper el límite de 10 búsquedas​

SPF tiene un límite duro de 10 búsquedas DNS. Cada include: puede desencadenar varias, y apilar proveedores (buzón + marketing + servicio de ayuda + facturación) puede empujarte silenciosamente por encima — en cuyo punto SPF devuelve un error y los receptores lo tratan como un fallo.

• Comienza desde el registro recomendado por tu proveedor; no combines fragmentos aleatorios de publicaciones de blog.
• Mantén todas las fuentes de envío en un solo registro TXT SPF en el dominio raíz. Múltiples registros SPF invalidan todos.
• Si estás cerca del límite, pide includes aplanados a los proveedores o elimina servicios que ya no usas.
• Valida con un verificador SPF gratuito antes de continuar.

Configuración SPF común:

Paso 3: Activa DKIM en todos lados donde envíes​

Activa la firma DKIM en cada plataforma de envío y publica cada registro de selector que te dé. Un dominio a menudo termina con varios selectores DKIM (uno por proveedor) — eso es normal. Verifica que cada uno muestre como activo en la consola del proveedor y envía una prueba a una dirección de Gmail para confirmar que el encabezado Authentication-Results muestre dkim=pass.

Rota las claves cuando tu proveedor lo solicite; las rotaciones rotas aparecen como degradación gradual de la entregabilidad, así que confirma que la nueva clave valide antes de eliminar la antigua.

Paso 4: Publica DMARC en modo de monitoreo, luego aplica​

1. Publica _dmarc con p=none y una dirección rua=.
2. Observa los informes agregados durante dos a cuatro semanas. Los lectores gratuitos de informes DMARC convierten el XML en tablas legibles que muestran qué servidores pasan y cuáles fallan.
3. Corrige cada fuente legítima que falle (generalmente una firma DKIM faltante o un desajuste de alineación).
4. Pasa a p=quarantine, observa otro ciclo, luego pasa a p=reject.

Saltar directamente a p=reject el primer día es la interrupción autoinfligida más común en todo este proceso: facturas y recibos legítimos se bloquean porque un remitente pasado por alto nunca fue autenticado.

7 errores que mantienen a las pequeñas empresas en spam​

1. Sin SPF, DKIM o DMARC en absoluto. Sigue siendo el hallazgo más común en dominios de pequeñas empresas. Verifica el tuyo con cualquier probador de autenticación gratuito antes de asumir que tu proveedor "lo manejó".
2. Dos registros SPF. DNS solo permite uno. Combina todo en un solo registro TXT que comience con v=spf1.
3. SPF sobre el límite de búsquedas. Demasiados includes significan que SPF falla. Audita anualmente y elimina proveedores muertos.
4. DKIM activado en la aplicación pero nunca publicado en DNS. El interruptor de firma sin el registro TXT no hace nada.
5. DMARC fallando por alineación. SPF o DKIM pasan pero bajo un dominio diferente al de tu dirección De — común cuando los boletines envían desde el dominio de un proveedor en lugar del tuyo. Configura un dominio de envío personalizado para que la alineación pase.
6. Nadie lee los informes DMARC. El buzón rua= se llena, las advertencias sobre una nueva herramienta que falla pasan desapercibidas y el problema surge solo cuando los clientes se quejan.
7. La higiene de listas y el contenido deshacen la buena autenticación. Listas compradas, sin enlace de baja, líneas de asunto engañosas y correos solo con imágenes generan las quejas que hunden la reputación incluso con DNS perfecto.

Cómo saber que funcionó​

• Envía correo de prueba a direcciones de Gmail, Yahoo y Outlook (incluida una cuenta nueva que nunca haya interactuado contigo) y confirma la colocación en la bandeja de entrada, no en spam.
• Inspecciona los encabezados. En Gmail, abre el mensaje, elige Mostrar original y confirma spf=pass, dkim=pass y dmarc=pass con tu dominio alineado.
• Inscríbete en Google Postmaster Tools. Añade tu dominio, verifica la propiedad y observa la tasa de spam, las tasas de aprobación de autenticación y la reputación durante las semanas siguientes.
• Rastrea métricas reales. Compara tasas de apertura, tasas de respuesta y — lo más importante — quejas de clientes de "nunca recibí tu factura" antes y después del cambio.

Qué tiene esto que ver con tus libros​

La entregabilidad del correo es un problema de flujo de caja disfrazado de tarea de TI. Cuando las facturas caen en spam, los clientes pagan tarde sin culpa propia, tus días de ventas pendientes aumentan y pierdes horas persiguiendo pagos que nunca fueron vistos. Lo mismo se aplica a presupuestos que nunca reciben respuesta y secuencias de recordatorios de pago que se disparan al vacío.

Trata los dominios de envío autenticados como tratas la conciliación bancaria: un control aburrido que mantiene el dinero en movimiento. Registra qué proveedor envía qué (facturas, recibos, marketing) para que cada flujo permanezca autenticado, y rastrea los pagos atrasados contra la fecha en que el cliente realmente vio la factura — no solo la fecha en que tu sistema la envió. Registros de entrega limpios hacen tanto tu seguimiento como tus libros más honestos.

Para más sobre mantener ajustadas las cuentas por cobrar, consulta las guías en /docs/ sobre flujos de trabajo de facturación y las vistas del panel en /fava/ que muestran saldos vencidos de un vistazo.

Simplifica tu gestión financiera​

Una vez que tus facturas lleguen de manera confiable a la bandeja de entrada, asegúrate de que lo que sigue también sea limpio: registros claros de lo que se facturó, pagó y está pendiente. Beancount.io proporciona contabilidad en texto plano que te da transparencia y control completos sobre tus datos financieros — sin cajas negras, sin bloqueo de proveedor. Empieza gratis y mantén cada dólar rastreable desde la factura hasta el libro mayor.