Rebote de Gmail «550 5.7.26»: email no autenticado

Qué significa

Has recibido un mensaje de error (un «rebote») parecido a este:

550 5.7.26 This mail has been blocked because the sender is unauthenticated.
Gmail requires all senders to authenticate with either SPF or DKIM.

Otras versiones del mismo código dicen «Unauthenticated email from yourdomain.com is not accepted due to domain's DMARC policy». En todos los casos, Gmail comprobó el email, no pudo demostrar que venía de tu dominio y lo rechazó.

Por qué importa

No es un filtro de spam: el email no está en spam, nunca se entregó. Todos los emails enviados de la misma forma se rechazarán igual hasta que se corrija la configuración.

Las causas habituales

• Ni SPF ni DKIM para tu dominio.
• SPF falla: el servidor que envió el email no figura en tu registro SPF.
• DMARC falla: SPF o DKIM se superaron, pero para otro dominio (por ejemplo el de tu herramienta de newsletters), y tu política DMARC es quarantine o reject.
• Reenvío: el email pasó por una dirección de reenvío o una lista de correo que rompió SPF, y no había firma DKIM que lo salvara.
• Otra persona está suplantando tu dominio, y el rebote es un «backscatter» que no has provocado tú. Consulta la guía sobre suplantación.

Cómo comprobarlo

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe. Usa exactamente la misma herramienta que recibió el rebote. Las líneas SPF, DKIM y DMARC muestran qué comprobación falla y para qué dominio.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros.

Cómo solucionarlo

1. Identifica el remitente. Mira el rebote: ¿qué herramienta o servidor envió el email rechazado? ¿Tu buzón, una web, un CRM, una herramienta de facturación?
2. Añádelo a SPF. Añade el valor include: o ip4: que indica ese servicio a tu único registro SPF.
3. Activa DKIM en ese servicio con tu propio dominio y publica la clave que te da. DKIM sobrevive al reenvío, SPF no.
4. Comprueba la alineación. El dominio de la dirección From debe coincidir con el dominio de SPF o DKIM. En las herramientas de newsletters, usa la opción «autentica tu dominio».
5. No envíes en nombre de un dominio que no controlas. Una web que envía como @gmail.com siempre fallará.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Envía un nuevo email de prueba desde la página de inicio con la misma herramienta. SPF o DKIM debe superarse para tu dominio, y DMARC debe superarse. Después, vuelve a enviar el email rechazado al destinatario de Gmail.

Más ayuda: directrices para remitentes de Google.