Mandaste un correo a un cliente y nunca llegó. Lo mandas otra vez y aparece en la carpeta de spam. O directamente el destinatario te dice que no lo recibe. Si te pasa con el correo de tu empresa, el problema casi nunca está en tu servidor de correo: está en los tres registros de DNS que le dicen a Hotmail, Gmail y Outlook si tu correo es legítimo o si debe tratarse como spam. SPF, DKIM y DMARC son esa configuración, y esta es la guía para dejarlos bien puestos y para saber qué revisar cuando "el correo no llega".
Si todavía no tienes correo con tu dominio, empieza por nuestra guía de correo corporativo para PYME; si el problema es que el dominio no apunta al hosting, la causa suele estar en el DNS y lo explicamos en cómo apuntar tu dominio a tu hosting.
Cómo decide un servidor receptor si tu correo es spam
Cuando envías un correo, el servidor que lo recibe (Gmail, Hotmail, Yahoo) no se limita a mirar el texto. Hace tres preguntas, en este orden:
- ¿El servidor que dice enviarlo está autorizado? Eso lo responde el registro SPF, un TXT en el DNS que declara qué servidores IP pueden enviar correo con tu dominio. Sin SPF, o con un SPF mal hecho, el servidor receptor no tiene forma de confirmarlo y desconfía.
- ¿El mensaje viene firmado con la clave de mi dominio? Eso lo responde DKIM: el servidor de salida firma cada mensaje con una clave privada, y la parte pública se publica en el DNS. El destinatario verifica la firma y sabe que el mensaje no fue alterado por el camino.
- ¿Qué hago si un mensaje no pasa esas dos comprobaciones? Eso lo define DMARC, otro registro TXT que indica si los mensajes sospechosos deben entregarse igual, mandarse a spam o rechazarse. También te permite recibir reportes con quién intenta suplantar tu dominio.
Los tres funcionan como una cadena. SPF y DKIM son las dos verificaciones; DMARC es la política que dice qué hacer cuando fallan. Si solo configuras uno, la cadena queda coja: por eso many empresas tienen SPF y aun así sus correos caen en spam.
Hay un cuarto factor que no se arregla con registros: la reputación de tu dominio y de la IP que envía. Un dominio nuevo sin historial, una IP compartida con otros remitentes o un buzón comprometido que empieza a enviar spam pueden arruinar la entregabilidad aunque la configuración sea perfecta. Volvemos a esto más abajo.
Los 5 síntomas y su causa real
| Síntoma | Causa más frecuente | Dónde mirar |
|---|---|---|
| El correo nunca llega, sin aviso de rebote | Falta SPF o DKIM, o la IP del servidor de envío no está autorizada en el SPF | Registros TXT de tu dominio |
| Llega a la carpeta de spam o a "Promociones" en Gmail | DKIM sin firmar, SPF que no incluye al servidor real, o DMARC en modo monitorización sin volumen todavía | SPF, DKIM y DMARC |
| El destinatario ve un error de servidor al escribirte | Registros MX o el registro A de mail.tudominio.com mal configurados, o DNS en Cloudflare con el proxy naranja | Zona DNS: MX y A de mail |
| Te rebotan tu propio correo (bounce) | Buzón lleno, dirección inexistente o una base de datos de clientes desactualizada | Cola de salida y lista de remitentes |
| Antes llegaba y ahora no | Un servicio nuevo (mailing, CRM, formularios) envía con tu dominio y no está incluido en el SPF | Registros SPF que quedaron desactualizados |
Paso 1: revisa tu zona DNS
Antes de tocar nada, confirma que los registros base están bien. Estos cuatro no son opcionales y son la causa más común de "no me llega nada":
| Registro | Para qué sirve | Si falta |
|---|---|---|
| MX | Indica a qué servidor de correo se entrega el correo de tu dominio | Nadie recibe el correo, ni tú ni nadie |
| A de mail.tudominio.com | Apunta el servidor de correo a su IP | El MX no resuelve y todo falla |
| SPF | Declara qué servidores están autorizados a enviar con tu dominio | Los receptores sospechan de cada envío |
| DKIM | Firma los mensajes salientes para probar autenticidad | Gmail y Hotmail lo tratan como envío no firmado |
| DMARC | Define la política para los mensajes que no pasan las dos validaciones | No hay política ni reportes: no ves a quién suplanta tu marca |
Un detalle que genera muchos sustos: si usas Cloudflare para el DNS, los registros de correo (MX, y el A de mail) deben estar en modo solo DNS, con el proxy desactivado. Cloudflare no reenvía correo y una IP de proxy activa hace que los registros MX no funcionen. La guía de DNS explicado cubre el resto de la zona.
Paso 2: activa SPF y DKIM desde tu panel
La buena noticia es que no tienes que escribir claves a mano. En cPanel, que es el panel de nuestro hosting compartido, hay una sección de entregabilidad que genera los registros correctos y te los instala con un clic.
- Entra a tu panel de hosting y abre Correo Electrónico → Entregabilidad de correo (en cPanel también aparece como Email Deliverability).
- Verás tu dominio listado. Entra a Administrar: ahí el panel te indica si falta SPF, falta DKIM o si hay algún conflicto.
- Pulsa Instalar el registro sugerido (o Install the suggested record). El panel escribe el TXT en tu zona DNS con el valor correcto, que es donde casi siempre se-equivocan los usuarios al copiarlo a mano.
- Repite el paso para DKIM: en la misma pantalla aparece la clave pública que hay que publicar. Selecciona el selector que indique el panel y deja que lo instale.
- Espera la propagación de DNS. No es instantánea: puede tardar desde minutos hasta unas horas según el registrador y el TTL de tus registros.
- Envía un correo de prueba a una cuenta de Gmail y otra a una de Hotmail, y revisa las cabeceras del mensaje (en Gmail: "Mostrar original") para confirmar que aparecen SPF: pass y DKIM: pass.
Si tu hosting no usa cPanel, el procedimiento es el mismo: el panel de tu proveedor te muestra el valor TXT exacto que debes crear en el DNS. Y si en algún punto te trabas, escríbenos: revisamos tu zona y te decimos qué registro está mal. Para familiarizarte con el panel, la guía de qué es cPanel te puede servir.
Paso 3: DMARC empieza en modo monitorización
DMARC se configura en un solo registro TXT llamado _dmarc.tudominio.com, y conviene subirlo por etapas en lugar de activarlo de golpe:
- Primera etapa: p=none. Solo monitorea. Los mensajes que fallan se entregan igual, pero empiezan a llegarte los reportes con lo que pasa en el mundo con tu dominio. Revísalos: ahí verás qué servidores firman con tu nombre y cuáles no.
- Segunda etapa: p=quarantine. Los mensajes que fallan van a spam en lugar de entrar a la bandeja. Sirve para filtrar sin perder nada.
- Tercera etapa: p=reject. Los mensajes que no pasan se rechazan outright. Es la etapa final y la que protege de verdad contra el phishing con tu marca.
Dos advertencias técnicas que evitan errores: activa DMARC solo cuando SPF y DKIM ya estén validados y的情况 且 funcionando (si los pones al revés, puedes empezar a rechazar tu propio correo legítimo), y espera un par de días entre una etapa y la otra para que los reportes te den información real. El parámetro rua es el que te dice a qué buzón llegan esos reportes.
Lo que también afecta la entregabilidad (y no son registros)
Con la configuración perfecta, tu correo puede seguir cayendo en spam por motivos de reputación y contenido. Estos son los que más se repiten en soporte:
- Dominio nuevo sin historial. Un dominio recién registrado no tiene reputación, y Gmail y Hotmail son especialmente cuidadosos con los dominios jóvenes. Envía con regularidad y con volumen coherente; la reputación se construye en semanas, no en días.
- Envíos a direcciones que no existen. Generar rebotes destruye la reputación más rápido que cualquier otra cosa. Revisa que tu base de datos de clientes esté limpia antes de una campaña.
- Una cuenta comprometida. Si alguien entra a un buzón y envía spam, pierdes la reputación de todo el dominio. Por eso las contraseñas de correo fuertes y el 2FA no son opcionales en una empresa.
- Remitentes que no coinciden. Si envías las notifications de tu web desde un servidor distinto al del correo corporativo, ese servidor tiene que estar autorizado en el SPF y firmado con DKIM, o tus propios avisos acabarán en spam.
- Contenido de correo.** asunto todo en mayúsculas, demasiadas imágenes externas, exceso de enlaces o enlaces que no coinciden con el dominio: todo eso es señal de spam para los filtros modernos.
Reenvíos y autorespondedores automáticos. Generan ruido y terminan marked como spam por el servidor del destinatario, no por el tuyo.
Herramientas gratuitas para verificar
No hace falta esperar a que un cliente te diga que no le llegó: hay servicios que te dicen exactamente en qué punto falló el correo.
- mail-tester.com: envías un correo real a la dirección que te indica y te devuelve un puntaje de entregabilidad con observaciones concretas. Es la forma más rápida de saber si tu configuración está bien.
- mxtoolbox.com: revisa la zona DNS (MX, SPF, DKIM, DMARC) y te dice si algo falta o está mal formado.
- port25.com: te devuelve un reporte con el estado de SPF, DKIM y DMARC de tu dominio.
Y una prueba que no requiere ninguna herramienta: manda el correo a un contacto que usa Gmail y a otro que usa Hotmail, y pídeles que te digan en qué carpeta llegó y que revisen las cabeceras. Con el "mostrar original" de Gmail ves las tres validaciones en una línea.
¿El problema es tu hosting o tu proveedor de correo?
Si tu hosting incluye el correo (como el nuestro, con cuentas de correo corporate incluidas en el plan y dominio propio), y aun así la entregabilidad te trae de cabeza, tienes dos caminos:
| Opción | Cuándo conviene | Qué implication tiene |
|---|---|---|
| Correo en tu hosting (webmail con tu dominio) | Equipo pequeño, correo como canal de atención, quieres todo en un solo lugar y en soles | Menos herramientas ofimáticas, y la configuración de entregabilidad es responsabilidad tuya (o de nuestro soporte, si lo pides) |
| Google Workspace o Microsoft 365 | El equipo trabaja con documentos compartidos, videollamadas y herramientas ofimáticas | Se cobra por usuario, en dólares, y la facturación es del proveedor extranjero |
| Ambos | Usuarios intensivelyusen la suite y el resto solo necesita un buzón | Más Complexity de administration, pero se paga solo por quien lo usa |
La comparación completa entre correo incluido en el hosting, Google Workspace y Microsoft 365, con lo que incluye cada uno, la tienes en nuestra guía de correo corporativo para PYME. Si además de correo necesitas que la web no se caiga, mira la guía de seguridad web para tu negocio.
Preguntas frecuentes
¿Por qué mi correo corporativo no llega a Hotmail ni a Gmail?
En el 90% de los casos por una de estas dos razones: no tienes SPF y DKIM configurados, o están configurados pero el servidor que envía no está autorizado en el SPF. La segunda es más común de lo que parece: pasa cuando la web usa un servicio de formularios o de mailing distinto al del correo corporativo y nadie添加到 SPF. Revisa la zona DNS y confirma que SPF y DKIM pasan en las cabeceras de un correo de prueba.
¿Qué diferencia hay entre SPF, DKIM y DMARC?
SPF dice qué servidores pueden enviar con tu dominio. DKIM firma cada mensaje para que se pueda verificar que sale de ti y que nadie lo alteró. DMARC define qué hacen los servidores que reciben un mensaje que no pasa ninguna de las dos validaciones, y te reporta de los intentos de suplantación. Los dos primeros se validan; el tercero es la política. Con SPF y DKIM bien puestos, el correo deja de ser sospechoso por defecto.
¿DMARC puede hacer que mis correos dejen de llegar a mis clientes?
Sí, si lo activas en modo reject antes de tener SPF y DKIM funcionando. Por eso la secuencia correcta es: SPF y DKIM validados y verificados, DMARC en p=none para ver los reportes, luego p=quarantine y finalmente p=reject. Con el orden correcto, proteges tu dominio sin cortar tu propio correo.
¿El hosting es la causa de que mi correo caiga en spam?
Puede serlo, pero no suele ser el primer culpable. Los registros DNS y la configuración de autenticación están en tu dominio, no en el servidor de correo, así que corregirlos no depende del hosting. Lo que sí depende del hosting es la reputación de la IP de salida y la Deliverability del servicio de correo: por eso conviene un proveedor que use entrega por red con reputación controlada en lugar de una IP de correo propia compartida. Si ya configuraste todo y sigue sin funcionar, cuéntanos el caso y lo revisamos contigo.
¿Cada cuánto debo revisar la configuración?
La configuración en sí cambia poco: se revisa al migrar de proveedor, al cambiar de servidor o al contratar una herramienta nueva que envíe correo con tu dominio (un CRM, un sistema de formularios, una plataforma de mailing). Cada una de esas altas debería revisión el SPF y el DKIM. Los reportes de DMARC te avisan de lo que se te escapó sin que tengas que revisar cada registro a mano.
¿Cómo sé si mi dominio está siendo suplantado?
Con los reportes de DMARC: la política incluye la dirección rua, donde recibes un informe con los servidores que enviaron con tu nombre. Si en ese informe aparece un servidor que no reconoces, o un volumen inusual desde una IP desconocida, tienes un problema de seguridad, no de configuración. En ese caso lo correcto es revisar las contraseñas de los buzones, activar verificación en dos pasos y cortar la fuente.
Conclusión
Que tu correo corporativo no llegue no es un misterio: es unSPF, un DKIM y un DMARC que nadie configuró, o que se quedaron desactualizados cuando la web empezó a enviar. Son tres registros de TXT y una política, y en la mayoría de los casos los puedes dejar bien en una tarde. Empieza por un hosting que incluya correo con tu dominio y conSPF y DKIM listos para instalar, o pídele a nuestro equipo que revise tu zona y te la deje andando. Si además quieres que tu web y tu correo vaya en la misma factura, con soporte 24/7 en español desde Perú y en soles, lo resolvemos con la migración incluida con la contratación de cualquier plan. Escríbenos por contacto y te ayudamos con la configuración.