Varios servicios de email en un mismo dominio: combina bien SPF y DKIM

Qué significa

La mayoría de las empresas envían emails desde más de un sitio: un proveedor de correo (Google Workspace, Microsoft 365), una herramienta de newsletters, una tienda online, un CRM, una herramienta de facturación o el formulario de contacto de la web. Todos ellos envían emails «From» tu dominio, así que cada uno debe estar autorizado y autenticado.

Las reglas son sencillas, pero se incumplen a menudo:

• SPF: tu dominio solo puede tener un único registro SPF. Todos los remitentes van en esa misma línea.
• DKIM: cada servicio tiene su propia clave, guardada con su propio nombre (el selector). Las claves nunca se sustituyen entre sí.
• DMARC: un solo registro para todo el dominio, que cubre todos los servicios.

Por qué importa

• Cuando se añade un segundo registro SPF para una herramienta nueva, los dos registros pasan a ser inválidos y SPF falla para todos los servicios.
• Un servicio que no está autenticado con tu dominio falla DMARC, y sus emails van a spam o se rechazan en cuanto tu política es estricta.
• Los remitentes olvidados son el principal motivo por el que la gente nunca se atreve a pasar DMARC a reject.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio (/), copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros SPF, DMARC y MX sin enviar nada.

Repite la prueba una vez por cada servicio que envía emails por ti.

Cómo solucionarlo

1. Haz un inventario. Apunta todas las herramientas que envían emails con tu dominio: buzón, newsletters, tienda, facturas, servicio de soporte, web. Revisa tus informes DMARC para encontrar las que hayas olvidado.
2. Reúne SPF en una sola línea. Pon todos los include: o ip4: después de un único v=spf1 y termina con un solo all:

   v=spf1 include:_spf.google.com include:spf.newsletter-example.com ip4:203.0.113.10 ~all

3. Vigila el límite de 10 consultas. Cada include: cuenta como al menos una consulta DNS, y SPF permite 10 en total. Quita los servicios que ya no usas. Algunas herramientas ni siquiera necesitan un include una vez configurado su return path personalizado.
4. Añade un registro DKIM por servicio. Cada herramienta te da un nombre de selector, por ejemplo:

   google._domainkey.yourdomain.com     TXT    (Google key)
   s1._domainkey.yourdomain.com         CNAME  (newsletter tool)
   shop._domainkey.yourdomain.com       CNAME  (online shop)

   Si dos herramientas piden el mismo nombre de selector, contacta con una de ellas: un nombre solo puede contener una clave.
5. Verifica en cada herramienta. Haz clic en «Verificar» o «Autenticar» en cada servicio cuando los registros estén publicados.
6. Mantén un solo registro DMARC. Empieza con p=none y una dirección para los informes, y endurécelo cuando todos los servicios lo superen.

Consejo: lleva los grandes envíos a un subdominio

Si tienes muchas herramientas, envía las newsletters desde news.yourdomain.com. El subdominio tiene su propio registro SPF, lo que mantiene corto el SPF de tu dominio principal.

Comprueba que está solucionado

Pasa el Escáner de dominio: deberías ver exactamente un registro SPF válido y un registro DMARC. Después envía un email de prueba desde cada servicio a una nueva dirección de prueba de Delivmail. Cada informe debería mostrar que SPF o DKIM se supera para tu dominio y que DMARC se supera. Con la monitorización DMARC de Delivmail en el panel de pago, cualquier remitente que se te haya pasado aparecerá en los informes diarios.