Nuevas reglas de correo electrónico para SaaS: Guía de cumplimiento de SPF, DKIM y DMARC

Los principales proveedores de correo electrónico han pasado del filtrado suave al rechazo duro para remitentes no conformes. Desde principios de 2024, Gmail y Yahoo han impuesto requisitos para remitentes masivos, uniéndose Microsoft en mayo de 2025. Estos cambios afectan a cualquier equipo de software que envíe mensajes automatizados a las bandejas de entrada de los usuarios, requiriendo una configuración precisa de DNS y la separación de flujos para mantener la entregabilidad.

Qué ha ocurrido

El panorama de la entrega de correos electrónicos cambió significativamente durante los últimos dos años, ya que los principales proveedores endurecieron la seguridad contra la suplantación de identidad (spoofing) y el spam. En febrero de 2024, Google y Yahoo introdujeron nuevos requisitos para remitentes masivos que fueron más allá del simple envío a la carpeta de spam, llegando al rechazo directo de correos no autenticados. Microsoft siguió este camino para los usuarios de Outlook.com en mayo de 2025, implementando comprobaciones estrictas similares. El objetivo es garantizar que cada correo electrónico que llegue a una bandeja de entrada de consumidor pueda ser verificado criptográficamente como proveniente del dominio reclamado.

Estas reglas se aplican con mayor rigor a los remitentes que transmiten más de 5.000 mensajes diarios a las cuentas de consumidores de un solo proveedor. Sin embargo, los requisitos técnicos de autenticación se aplican a todos los remitentes, independientemente del volumen. Los proveedores utilizan estas señales para determinar la reputación, lo que significa que incluso pequeñas startups pueden enfrentar problemas de entrega si descuidan la configuración básica. Un lanzamiento repentino de producto o una campaña de marketing masiva puede empujar instantáneamente a un remitente de bajo volumen por encima del umbral, activando una aplicación más estricta sin previo aviso.

El núcleo de estas actualizaciones gira en torno a tres protocolos de autenticación basados en DNS: SPF, DKIM y DMARC. Los proveedores ahora requieren alineación entre estos registros y la dirección "De" visible. Si el remitente técnico del sobre no coincide con el dominio que ven los usuarios, el mensaje falla la autenticación. Microsoft se ha vuelto particularmente estricto, devolviendo códigos de error específicos como 550 5.7.515 cuando los niveles de autenticación son insuficientes, forzando a los desarrolladores a corregir los registros DNS en lugar de ajustar el contenido del correo.

Detalles clave

• Umbral de remitente masivo: Aproximadamente 5.000 mensajes diarios a los buzones de consumidores de un proveedor desencadenan la clasificación estricta de remitente masivo.
• Límites de SPF: Los registros SPF no deben exceder 10 búsquedas DNS; superar esto causa un error permanente equivalente a no tener registro SPF.
• Tamaño de clave DKIM: Usa claves de 2048 bits donde sea compatible, y asegúrate de que cada herramienta que envía en tu nombre firme con tu dominio específico.
• Política DMARC: Comienza con p=none para monitoreo, luego pasa a p=quarantine o p=reject una vez confirmada la alineación.
• Estándar de cancelación de suscripción: Los correos de marketing deben incluir encabezados de cancelación de suscripción con un clic según RFC 8058, procesando las exclusiones dentro de dos días.
• Separación de flujos: Los correos transaccionales y de marketing deben usar subdominios diferentes para aislar los riesgos de reputación.

Antecedentes

Para entender estos requisitos, ayuda saber cómo funciona la autenticación de correo electrónico. SPF (Sender Policy Framework) es un registro de texto DNS que lista las direcciones IP autorizadas para enviar correo desde tu dominio. DKIM (DomainKeys Identified Mail) añade una firma digital a cada mensaje, que los receptores verifican usando una clave pública publicada en tu DNS. DMARC (Domain-based Message Authentication, Reporting, and Conformance) une estos elementos comprobando si el dominio en el encabezado "De" está alineado con los dominios que pasaron las comprobaciones SPF o DKIM.

La alineación es el punto de fallo más común. Si tu proveedor de correo firma los mensajes con su propio dominio en lugar del tuyo, DMARC fallará aunque SPF y DKIM pasen técnicamente. Por eso es crítico usar un subdominio dedicado para el envío, como mail.example.com. Esto te permite controlar los registros DNS y asegura que los resultados de autenticación coincidan con la dirección visible del remitente. Sin esta alineación, proveedores como Outlook rechazarán el mensaje completamente.

Por qué importa

Para equipos que ejecutan software autoalojado o productos SaaS, la entregabilidad del correo está directamente ligada a la confianza y retención del usuario. Si los correos de restablecimiento de contraseña caen en spam o son rechazados, los usuarios no pueden acceder a sus cuentas, generando tickets de soporte y abandono. El cambio del filtrado suave al rechazo duro significa que no hay segunda oportunidad para mensajes mal configurados. Una vez que un dominio es marcado por mala autenticación o altas tasas de quejas, recuperar la reputación es difícil y consume mucho tiempo.

La estabilidad operativa también depende de separar los flujos de correo. Las campañas de marketing suelen generar tasas de quejas por spam más altas que los mensajes transaccionales. Si ambos tipos de correo provienen del mismo dominio o grupo de IPs, un boletín mal recibido puede dañar la reputación de notificaciones críticas del sistema. Al aislar estos flujos, garantizas que los experimentos de marketing no pongan en peligro la entrega de alertas de seguridad y recibos de facturación. Esta separación es ahora una mejor práctica impuesta por los algoritmos de los proveedores.

Además, monitorear estas métricas proporciona señales de alerta temprana de problemas de infraestructura. Herramientas como Google Postmaster Tools y los informes agregados de DMARC revelan si servicios no autorizados están enviando correo como tu dominio o si herramientas legítimas están mal configuradas. Ignorar estas señales puede llevar a un bloqueo súbito (blacklisting). La gestión proactiva de los registros DNS y la reputación del remitente ya no es opcional para ningún equipo que dependa del correo para la comunicación con usuarios.

Qué puedes hacer

• Auditar registros DNS: Verifica que tengas solo un registro SPF por dominio y que incluya todos los servicios de envío actuales sin exceder 10 búsquedas.
• Implementar monitoreo DMARC: Publica un registro DMARC con p=none y una dirección de correo de reporte para recibir agregados XML diarios de los proveedores.
• Separar dominios de envío: Configura subdominios distintos para correos transaccionales y de marketing para aislar la reputación y prevenir contaminación cruzada.
• Habilitar cancelación de suscripción con un clic: Añade encabezados RFC 8058 a todos los correos de marketing, asegurando que el enlace de cancelación procese solicitudes inmediatamente sin necesidad de inicio de sesión.
• Comprobar DNS inverso: Si alojas tu propio servidor de correo, asegúrate de que cada IP de envío tenga un registro PTR que resuelva al hostname correcto.
• Monitorear tasas de quejas: Usa Google Postmaster Tools y Microsoft SNDS para rastrear quejas de spam, manteniéndolas por debajo del 0,1% para evitar limitaciones de velocidad (throttling).

Mantén visible el estado de tu dominio y certificados para prevenir que fallos no relacionados compounden los problemas de correo.