DMARC falla: SPF y DKIM no coinciden con tu dominio

Qué significa

DMARC no se limita a preguntar «¿se superó SPF o DKIM?». Pregunta «¿se superaron para el mismo dominio que el de la dirección From?». Esa coincidencia se llama alineación.

• SPF comprueba el remitente oculto del sobre (Return-Path). Las herramientas de newsletters y los CRM suelen poner ahí su propio dominio, como bounces.newsletter-example.com.
• DKIM comprueba el dominio de la firma (d=). Si no configuraste DKIM para tu propio dominio en la herramienta, firma con su propio dominio.

Así que SPF y DKIM pueden superarse los dos, para el dominio del proveedor, mientras DMARC falla para el tuyo.

Por qué importa

Los receptores actúan según el fallo de DMARC. Con p=quarantine tu email va a spam; con p=reject se rechaza. Incluso con p=none, Gmail y Yahoo esperan que los envíos masivos superen DMARC.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. Mira juntas las líneas SPF, DKIM y DMARC: muestran qué dominio usó cada comprobación y si la firma DKIM viene de tu dominio o de tu proveedor.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros DNS sin enviar nada.

Cómo solucionarlo

Solo necesitas que una comprobación alineada se supere para pasar DMARC. DKIM es la mejor opción porque además resiste al reenvío.

Opción 1: configura DKIM para tu propio dominio (recomendado)

1. En la herramienta de envío, busca «autenticación de dominio» o «DKIM».
2. Añade a tu DNS los registros que te da (normalmente TXT o CNAME bajo ._domainkey).
3. Confirma en la herramienta. A partir de ahí, las firmas usarán d=yourdomain.com.

Opción 2: usa un Return-Path personalizado

Muchos servicios de email te permiten usar un subdominio tuyo como remitente del sobre, a menudo llamado «custom return path» o «custom bounce domain». Añades un CNAME como este:

bounces.yourdomain.com  CNAME  (value given by your email service)

SPF se comprueba entonces en tu subdominio, que está alineado con tu dominio.

Opción 3: tu propio servidor

Si el email sale de tu propio servidor, asegúrate de que el remitente del sobre usa tu dominio y de que la IP del servidor está en tu registro SPF, y firma con DKIM para tu dominio.

Alineación estricta y relajada

Por defecto, DMARC usa la alineación relajada: mail.yourdomain.com coincide con yourdomain.com. Si tu registro contiene adkim=s o aspf=s (estricta), los dominios tienen que coincidir exactamente. Salvo que tengas un buen motivo, quita esas etiquetas:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Reenvíos y listas de correo

Cuando se reenvía un email, SPF se rompe porque el servidor que reenvía no está en tu lista. Las listas de correo que cambian el contenido también rompen DKIM. No puedes arreglarlo del todo por tu parte, y por eso es tan importante tener DKIM alineado.

Comprueba que está solucionado

Envía un nuevo email de prueba desde la página de inicio, desde cada herramienta que uses. La línea DMARC debería superarse. Con la monitorización DMARC de Delivmail en el panel de pago, también puedes seguir los informes diarios y ver todas las fuentes que todavía fallan.