El registro MX apunta a un CNAME o a una dirección IP: por qué no es válido

Qué significa

El registro MX indica a los demás servidores de correo dónde entregar el email de tu dominio. Su valor es una prioridad y un nombre de host, por ejemplo 10 mail.yourdomain.com. Ese nombre de host debe tener su propio registro A (IPv4) o AAAA (IPv6).

Hay dos errores frecuentes:

• MX que apunta a una dirección IP: yourdomain.com MX 10 203.0.113.25. No está permitido: la RFC 5321 dice que el valor del MX es un nombre de dominio, y una dirección ahí no es válida.
• MX que apunta a un CNAME: el destino del MX, mail.yourdomain.com, es a su vez un CNAME hacia otro nombre. La RFC 2181 (sección 10.3) dice que el destino del MX no debe ser un alias.

Por qué ocurre

• Un panel DNS te deja escribir una IP en el campo MX, o alguien pensó que era más sencillo.
• Algunos paneles tratan la IP como un nombre relativo y publican 203.0.113.25.yourdomain.com, que no existe.
• El host de correo se configuró como CNAME hacia el nombre del servidor del proveedor de hosting (por ejemplo mail CNAME server12.host.example) para no tener que actualizar las IP.
• Se copió la documentación de un proveedor en el tipo de registro equivocado.

Qué pasa en la práctica

• IP en el MX: muchos servidores de envío no encuentran ningún nombre de host y fallan. Algunos recurren al registro A del dominio (el servidor de la web), que normalmente no acepta correo. Los resultados son imprevisibles: algunos remitentes entregan y otros rebotan, a menudo con mensajes como "Domain not found", "No MX for domain" o "Host or domain name not found".
• CNAME como destino del MX: muchos servidores siguen el alias y entregan igualmente, por eso el error pasa desapercibido. Pero no es estándar, algunos servidores estrictos y validadores lo rechazan, y añade una consulta extra que puede fallar.

Un dominio sin ningún MX es otro problema, tratado en no hay registro MX en tu dominio.

Cómo comprobarlo

1. Abre el escáner de dominios e introduce tu dominio. Muestra tus registros MX y sus destinos.
2. Con dig:

   dig MX yourdomain.com +short
   10 mail.yourdomain.com.
   
   dig CNAME mail.yourdomain.com +short
   (must be empty)
   
   dig A mail.yourdomain.com +short
   203.0.113.25

   Si la respuesta MX es un número como 203.0.113.25., o si dig CNAME sobre el destino devuelve un nombre, tienes uno de los problemas anteriores.
3. En Windows: nslookup -type=MX yourdomain.com.
4. Prueba el propio servidor: nc -v mail.yourdomain.com 25 debe mostrar un saludo 220.

Cómo solucionarlo

MX que apunta a una IP

1. Crea un registro A (y AAAA si usas IPv6) para un nombre de host de correo:

   Host: mail      Type: A      Value: 203.0.113.25

2. Cambia el MX para que use ese nombre:

   Host: @         Type: MX     Priority: 10     Value: mail.yourdomain.com

   Algunos paneles necesitan un punto final (mail.yourdomain.com.), otros añaden el dominio por ti; comprueba lo que muestra tu panel después de guardar.

El destino del MX es un CNAME

Sustituye el CNAME del host de correo por registros A/AAAA con la IP del servidor, o haz que el MX apunte directamente al nombre de host real que te da tu proveedor (el que tiene el registro A):

Before:
yourdomain.com.        MX 10  mail.yourdomain.com.
mail.yourdomain.com.   CNAME  server12.host.example.

After (option 1):
mail.yourdomain.com.   A      203.0.113.25

After (option 2):
yourdomain.com.        MX 10  server12.host.example.

Si usas Google Workspace, Microsoft 365 u otro proveedor, usa exactamente los valores MX de su página de configuración. Asegúrate también de que el host de correo no pasa por el proxy de una CDN (consulta los registros con proxy de Cloudflare rompen el email) y de que su nombre no tiene otro CNAME en conflicto (consulta un CNAME entra en conflicto con los registros MX y TXT).

Tu propio servidor

Lo ideal es que el nombre de host del MX coincida con el DNS inverso (PTR) del servidor y con el nombre de su certificado TLS, por ejemplo mail.yourdomain.com en todas partes.

Comprueba que está solucionado

Espera a que caduque el TTL del MX antiguo, vuelve a ejecutar dig MX y comprueba el resultado en el escáner de dominios. Envía un email desde un buzón externo (Gmail, Outlook) a una dirección de tu dominio y confirma que llega. Si tu servidor también envía, haz una prueba en Delivmail desde él para comprobar SPF, DKIM y el DNS inverso.