Los CNAME de autenticación de dominio de SendGrid no se verifican: cómo solucionarlo

Qué significa

En Twilio SendGrid, Domain Authentication (Settings > Sender Authentication) te pide que publiques registros DNS y después hagas clic en Verify. Si SendGrid no los encuentra con el valor correcto, los muestra como no verificados y tu dominio sigue sin autenticar.

Con "Use automated security" activado (la opción por defecto), SendGrid te da tres registros CNAME y te sugiere un registro DMARC. Los nombres y destinos contienen números únicos para tu cuenta:

em1234.yourdomain.com            CNAME  u1234567.wl123.sendgrid.net
s1._domainkey.yourdomain.com     CNAME  s1.domainkey.u1234567.wl123.sendgrid.net
s2._domainkey.yourdomain.com     CNAME  s2.domainkey.u1234567.wl123.sendgrid.net
_dmarc.yourdomain.com            TXT    "v=DMARC1; p=none;"

El registro em se usa para el Return-Path (dominio de rebote, lo que hace que SPF se alinee). Los dos registros _domainkey apuntan a claves DKIM que SendGrid rota por ti. Copia siempre tus propios valores desde la consola; los de arriba son ejemplos.

Por qué ocurre

• Nombre de dominio duplicado. Tu panel DNS añade yourdomain.com automáticamente, así que em1234.yourdomain.com se convierte en em1234.yourdomain.com.yourdomain.com. Es la causa más habitual; consulta registro DNS añadido con un nombre incorrecto.
• Proxy de Cloudflare. Un CNAME con proxy (nube naranja) responde con direcciones IP de Cloudflare en lugar del destino del CNAME. Consulta los registros con proxy de Cloudflare rompen el email.
• Un registro en conflicto. Un CNAME no puede convivir con otro registro del mismo nombre. Un TXT o un MX antiguo en em1234 o s1._domainkey lo bloquea. Consulta los conflictos de CNAME con registros MX y TXT.
• Errata en el destino, o un problema con el punto final en los paneles que esperan un nombre completo.
• Registros añadidos en la zona DNS equivocada. El DNS de tu dominio lo sirve otro proveedor (revisa los registros NS), así que los registros añadidos en tu registrador nunca se ven.
• Todavía no son visibles. Algunos proveedores DNS tardan en publicar los registros nuevos; SendGrid menciona hasta 48 horas en algunos casos.
• Dominio autenticado equivocado: autenticaste yourdomain.com pero añadiste registros para un subdominio, o al revés.

Cómo comprobarlo

1. Consulta cada registro desde un terminal. Una respuesta correcta devuelve el destino de SendGrid:

   dig +short CNAME em1234.yourdomain.com
   dig +short CNAME s1._domainkey.yourdomain.com
   dig +short CNAME s2._domainkey.yourdomain.com
   dig +short NS yourdomain.com

   Una respuesta vacía significa que el registro no está (o todavía no). Las direcciones IP indican un proxy.
2. Comprueba si el nombre está duplicado: dig +short CNAME em1234.yourdomain.com.yourdomain.com. Si responde, el nombre se introdujo mal.
3. Usa el escáner de dominios de Delivmail para ver los registros SPF, DMARC y DKIM que los demás ven para tu dominio.

Cómo solucionarlo

1. En tu panel DNS, abre cada registro e introduce en el campo del nombre solo la parte anterior a tu dominio: em1234, s1._domainkey, s2._domainkey.
2. Pega el destino exactamente como lo muestra SendGrid. Elige el tipo de registro CNAME, no TXT.
3. En Cloudflare, cambia cada registro a "DNS only".
4. Elimina los registros antiguos con los mismos nombres, incluidos los antiguos TXT de DKIM para s1/s2 de una configuración anterior.
5. Asegúrate de editar la zona del proveedor DNS que aparece en tus registros NS.
6. Si tu proveedor DNS no acepta guiones bajos en los nombres CNAME, desactiva la seguridad automática en SendGrid (entonces te da registros MX y TXT) o lleva tu DNS a un proveedor que admita los registros estándar.
7. De vuelta en SendGrid, haz clic en Verify. Si un registro sigue fallando, SendGrid te indica cuál.

SPF y registros existentes

Con la seguridad automática no necesitas añadir SendGrid a tu registro SPF raíz: SPF se comprueba en el subdominio em, que sigue el SPF de SendGrid a través del CNAME. Mantén tu SPF raíz actual para tus otros servicios. Para saber cómo funciona DKIM con CNAME, consulta DKIM con registros CNAME (selectores delegados).

Comprueba que está solucionado

Cuando dig devuelva los destinos correctos, vuelve a hacer clic en Verify en SendGrid; todos los registros deberían ponerse en verde. Después envía una prueba a través de SendGrid a la dirección de la página de inicio de Delivmail: DKIM debería superarse con d=yourdomain.com, el Return-Path debería estar en em1234.yourdomain.com y DMARC debería superarse. Si los registros son correctos pero SendGrid sigue sin verificarlos pasado el plazo de propagación, contacta con el soporte de SendGrid adjuntando la salida de dig.