Return-Path personalizado de Postmark (pm-bounces) y alineación DMARC

Qué significa

Todo email tiene dos direcciones de remitente. La dirección From es la que ve el lector. El Return-Path (o remitente del sobre) es una dirección oculta a la que van los rebotes. SPF comprueba el dominio del Return-Path, no el del From. Para repasarlo, consulta Return-Path, remitente del sobre y From.

Por defecto, Postmark usa su propia dirección de rebote:

Return-Path: <pm_bounces@pm.mtasv.net>

SPF se supera, pero para pm.mtasv.net, no para tu dominio. DMARC necesita que SPF o DKIM se superen para un dominio que coincida con el dominio de tu From (es lo que se llama alineación). Con el Return-Path por defecto, SPF no se alinea, así que DMARC depende solo de DKIM.

Un Return-Path personalizado lo sustituye por un subdominio de tu propio dominio, por defecto pm-bounces.yourdomain.com:

Return-Path: <pm_bounces@pm-bounces.yourdomain.com>

Así SPF se supera y se alinea con tu dominio, y DMARC puede superarse tanto por SPF como por DKIM.

Por qué ocurre

Ves "SPF no alineado" o un aviso de DMARC en un informe porque:

• El Return-Path personalizado nunca se configuró (en Postmark es opcional).
• Se añadió el CNAME, pero el alias no se introdujo ni se verificó en Postmark, así que Postmark sigue usando el suyo por defecto.
• El CNAME es incorrecto: nombre equivocado, destino equivocado o con proxy de Cloudflare.
• Tu registro DMARC usa una alineación SPF estricta (aspf=s). El modo estricto exige exactamente el mismo dominio, y pm-bounces.yourdomain.com es un subdominio, así que la alineación SPF falla incluso con una configuración correcta. Consulta la explicación de las etiquetas DMARC.

Si DKIM también falla, DMARC falla por completo; es otro problema, tratado en DMARC falla: SPF y DKIM no coinciden con tu dominio.

Cómo comprobarlo

1. Envía un email a través de Postmark a la dirección única de la página de inicio de Delivmail. En el informe, mira el dominio SPF (el Return-Path) y el resultado DMARC.
2. Comprueba el registro desde un terminal:

   dig +short CNAME pm-bounces.yourdomain.com
   pm.mtasv.net.

   Si la respuesta está vacía o muestra direcciones IP, el CNAME falta o tiene proxy.
3. En Postmark, abre Sender Signatures, elige el dominio y abre DNS Settings. La sección Return-Path muestra si está verificado.

Cómo solucionarlo

1. Añade el CNAME en tu proveedor DNS:

   Host:   pm-bounces.yourdomain.com   (enter "pm-bounces" in most DNS panels)
   Type:   CNAME
   Value:  pm.mtasv.net

   Puedes elegir otra etiqueta, pero debe ser un subdominio de tu dominio From y no debe tener ya otros registros (un CNAME no puede compartir nombre con registros TXT, MX o A; consulta los conflictos de CNAME con registros MX y TXT). En la mayoría de los paneles DNS basta con escribir "pm-bounces" como nombre.
2. Si usas Cloudflare: configura el registro como "DNS only" (nube gris). Un registro con proxy no devuelve el CNAME. Consulta los registros con proxy de Cloudflare rompen el email.
3. Indícaselo a Postmark: en Sender Signatures, abre la configuración DNS del dominio, ve a la sección Return-Path, introduce el mismo alias (por ejemplo pm-bounces) y verifícalo.
4. No añadas Postmark a tu registro SPF principal para esto. SPF se comprueba en pm-bounces.yourdomain.com, que hereda el SPF de Postmark a través del CNAME. Tu registro SPF raíz se queda como está.
5. Comprueba el modo de alineación DMARC. Mantén el modo relajado por defecto (aspf=r, o sin etiqueta aspf) salvo que tengas un motivo para ser estricto.
6. Mantén DKIM verificado también. Dos métodos alineados son más seguros que uno, porque DKIM resiste algunos casos de reenvío en los que SPF se rompe. Si DKIM aún no está configurado, consulta Sender Signature de Postmark y verificación del dominio.

Varios dominios From

El Return-Path personalizado se configura por dominio. Si envías desde yourdomain.com y news.yourdomain.com, cada uno necesita su propia configuración verificada en Postmark.

Comprueba que está solucionado

Espera a que el CNAME sea visible (de minutos a unas horas según tu proveedor DNS), confirma que está verificado en Postmark y envía una nueva prueba a Delivmail. El Return-Path debería terminar ahora en pm-bounces.yourdomain.com, SPF debería superarse y DMARC debería superarse con SPF y DKIM alineados. También puedes revisar la cabecera Authentication-Results de un mensaje recibido en Gmail: busca spf=pass con smtp.mailfrom=pm-bounces.yourdomain.com y dmarc=pass.