El reenvío de emails rompe SPF: cómo ayudan DKIM y ARC

Qué significa

Mucha gente reenvía su correo automáticamente: de una dirección antigua a una nueva, de un alias de la universidad o de la empresa a Gmail, de una dirección de contacto a varios miembros del equipo.

Cuando eso ocurre, el email lo vuelve a enviar el servidor de reenvío. El receptor final comprueba SPF con la dirección IP de ese servidor, que no está en tu registro SPF. Resultado: SPF falla, aunque lo hayas hecho todo bien.

• DKIM suele sobrevivir al reenvío: la firma va dentro del email y sigue siendo válida mientras no se modifique el contenido.
• ARC (Authenticated Received Chain) permite al servidor de reenvío dejar constancia de que «este email pasaba SPF, DKIM y DMARC cuando me llegó», y firmar esa declaración.

Por qué importa

DMARC pasa si SPF o DKIM pasa y coincide con tu dominio. Si solo dependes de SPF, todos los emails reenviados fallan DMARC. Con p=quarantine o p=reject, esos emails van a spam o se rechazan, y nunca te enteras.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio (/), copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. Comprueba que DKIM pasa y que está firmado por tu propio dominio (d=yourdomain.com), no solo por tu proveedor. Eso es lo que protege los emails reenviados.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para comprobar tus registros SPF y DMARC.

En tus informes DMARC, el reenvío aparece como fuentes que no reconoces (servidores de universidades, proveedores de correo) con SPF fallando pero DKIM pasando.

Cómo solucionarlo

Si eres el remitente

1. Firma todos tus emails con DKIM para tu propio dominio. Configúralo en tu proveedor de correo y en todas las herramientas que envían por ti. Esta es la verdadera solución.
2. Evita cambios después de firmar. Los pies de página, el seguimiento o los avisos legales que añade una pasarela después de la firma pueden romper DKIM. Añádelos antes de firmar, o firma en el último paso.
3. No debilites SPF para «arreglarlo». Añadir las direcciones IP de los servidores de reenvío o usar +all nunca es la respuesta.

Si gestionas el reenvío

• Elige servicios de reenvío compatibles con ARC o SRS (Sender Rewriting Scheme). SRS reescribe el remitente del sobre con el dominio del servidor de reenvío para que SPF pase ahí; Gmail, Microsoft 365 y la mayoría de los grandes proveedores lo hacen.
• En lugar de reenviarlo todo, plantéate recoger el correo con una app o por IMAP, que no vuelve a enviar el mensaje.
• No reenvíes spam: perjudica la reputación del servidor de reenvío.

Listas de correo

Las listas que añaden una etiqueta al asunto o un pie de página también rompen DKIM. Un buen software de listas reescribe la dirección From (por ejemplo «John via List») o añade ARC. No puedes controlarlo desde tu lado, lo que es un motivo más para tener DKIM alineado en todo lo demás.

Comprueba que está solucionado

Envía un nuevo email de prueba desde la página de inicio y confirma que DKIM pasa con tu dominio. Con la monitorización DMARC de Delivmail en el panel de pago, las fuentes de reenvío deberían mostrar entonces DKIM pasando aunque SPF falle, lo cual es normal y aceptable.