Return-Path, remitente del sobre y From: por qué deben coincidir con tu dominio

Qué significa

Un email se parece un poco a una carta dentro de un sobre. Tiene dos direcciones de remitente:

• La dirección From, impresa en la carta. Es lo que ve el lector, por ejemplo news@yourdomain.com.
• El remitente del sobre, escrito en el sobre. Lo usan los servidores, sobre todo para devolver los rebotes (avisos de email no entregado). Una vez entregado el email, se guarda en la cabecera Return-Path. También se llama «MAIL FROM» o «dirección de rebote».

Pueden ser distintas. Las herramientas de newsletters suelen usar su propio remitente del sobre, como bounce-123@mail.sendingtool.com, para poder gestionar los rebotes por ti.

Por qué importa

• SPF comprueba el remitente del sobre, no el From. Si el Return-Path está en el dominio de la herramienta, SPF se supera para la herramienta, no para ti.
• DMARC comprueba el From. Solo se supera si SPF se supera para un dominio que coincide con el dominio del From, o si DKIM se supera para un dominio que coincide con él. Esto se llama alineación.
• Así que, con el Return-Path de una herramienta y la firma DKIM propia de la herramienta, todo «se supera», pero DMARC falla para tu dominio.

Cómo comprobarlo

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe. En la sección de autenticación, compara el dominio comprobado por SPF, el dominio de firma DKIM (d=) y el dominio del From. El informe indica si cada uno está alineado. En la sección «Cabeceras sin procesar», mira la línea Return-Path.

Return-Path: <bounce-123@mail.sendingtool.com>   (not aligned)
Return-Path: <bounces@mail.yourdomain.com>       (aligned)
From: News <news@yourdomain.com>

Un subdominio de tu dominio, como mail.yourdomain.com, cuenta como alineado en el modo «relajado», que es el predeterminado.

Cómo solucionarlo

1. Configura primero DKIM con tu propio dominio. En cada herramienta de envío, busca «autenticación de dominio» o «DKIM personalizado». Añade los registros que te dé. Un DKIM alineado basta para que DMARC se supere, y resiste los reenvíos mejor que SPF.
2. Configura un Return-Path personalizado si tu herramienta lo ofrece. Suele llamarse «custom bounce domain», «custom MAIL FROM» o «return-path domain». Normalmente añades un registro CNAME como bounces.yourdomain.com que apunta a la herramienta.
3. Con tu propio servidor, asegúrate de que el remitente del sobre usa tu dominio y de que la dirección IP del servidor está en tu registro SPF.
4. Para los formularios y scripts de tu web, define explícitamente el remitente del sobre. Muchos hostings usan uno por defecto como user@server123.host.com. En PHP mail, lo controla el parámetro -f o el ajuste «Sender» de la librería.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Envía un nuevo email de prueba desde la página de inicio a través de la misma herramienta. El informe debería mostrar DKIM superado y alineado para tu dominio, idealmente también SPF alineado, y DMARC superado.