Saltar al contenido
SPF · DKIM · DMARC

El correo de llegan.es, por dentro.

Vendo configuración de correo bien hecha, así que lo justo es enseñar la mía. Esta página no se limita a contarlo: comprueba el DNS de llegan.es en vivo, delante de ti, con el mismo comprobador público que usas tú. Si algún día lo estropeo, aparecerá aquí antes de que me dé tiempo a reescribir el texto.

Comprobado ahora mismo

Esto no está escrito a mano: sale de consultar el DNS público de llegan.es en este momento.

Esta comprobación se hace en vivo y necesita JavaScript, así que con JS desactivado no ves nada — y prefiero eso a escribirte a mano un resultado que no puedas verificar. Puedes comprobarlo por tu cuenta en el comprobador público, o desde tu terminal con «dig llegan.es TXT» y «dig _dmarc.llegan.es TXT».

Comprobarlo por tu cuenta

Por qué está así, decisión a decisión

Los registros de arriba los ves en el panel. Lo que sigue es el razonamiento detrás de cada uno, que es la parte que de verdad se paga y la que no caduca cuando cambia una IP.

Recepción

Quien recibe el correo no es quien lo envía

El correo que entra en llegan.es y el que sale por la web son dos sistemas distintos, a propósito. Separarlos significa que un problema con el proveedor de envío no deja al dominio sin recibir nada, y que puedo cambiar cualquiera de los dos sin tocar el otro. Es la primera pregunta que hago en un rescate: mucha gente descubre que su web, su facturación y su correo humano salen todos por el mismo sitio, y que por eso cuando uno se quema arden los tres.

SPF

El calificador final es la decisión, no el registro

Casi todo el mundo tiene SPF. Lo que casi nadie tiene es un SPF que sirva de algo, porque termina en «~all» — que traducido significa «si esto viene de otro sitio, sospecha, pero acéptalo igual». Cerrar con «-all» es decir «si no está en la lista, no soy yo». Da más miedo y por eso se evita, pero un SPF permisivo es una puerta abierta a que suplanten tu dominio y a la vez una señal débil para Gmail. La condición para cerrarlo es sencilla y no negociable: saber de verdad todo lo que envía en tu nombre. Ese inventario es la mitad del trabajo de un rescate.

DKIM

Dos firmas porque hay dos caminos

DKIM firma cada mensaje para que el destinatario compruebe que no lo han manipulado y que salió de donde dice. Si por tu dominio sale correo por dos caminos distintos, cada camino necesita su propia firma: una sola clave deja al otro flujo sin firmar y entonces DMARC lo trata como sospechoso. Es uno de los fallos que más veo en dominios que «ya tenían DKIM»: lo tenían, sí, pero solo para uno de los tres sitios desde los que enviaban.

DMARC

Empezar en observación no es ir despacio, es no romper nada

DMARC le dice al destinatario qué hacer cuando algo dice ser tuyo pero no cuadra: nada, cuarentena o rechazo. Ir directo al rechazo es la forma más rápida de tirar correo legítimo que ni sabías que existía — la plataforma de facturación, el CRM, el formulario de la web, la newsletter que contrató alguien hace tres años. Por eso se arranca en observación y con los informes activados: durante unas semanas llegan reportes de todo lo que firma en tu nombre, y solo cuando ahí no queda nada legítimo fallando se sube la política. Hago exactamente eso con mi propio dominio, y el panel de arriba enseña en qué fase estoy hoy, no en la que me gustaría estar.

Lo que decía aquí hasta el 21 de agosto

Recomendaba separar el correo automático. Y no lo hacía.

Cuando reviso el correo de una empresa, una de las recomendaciones habituales es separar el correo automático —avisos, confirmaciones, facturas— del correo humano, poniendo el automático en un subdominio propio. Así, si un envío quema la reputación, se quema la del subdominio y no la del dominio con el que escribes a tus clientes.

Durante los primeros quince días de esta web yo no lo hacía, y en este mismo hueco lo reconocía por escrito. Mi motivo era que el plan gratuito de mi proveedor de envío solo admitía un dominio. El 21 de agosto fui a comprobarlo en vez de darlo por bueno, y resultó que era falso: admitía varios. Verifiqué el subdominio ese mismo día y el correo automático pasó a salir por ahí. Costó cero euros y veinte minutos.

Dejo escrito el error en vez de borrarlo, por dos razones. La primera es que el trabajo que vendo consiste exactamente en esto: ir a mirar el dato en lugar de repetir lo que uno cree recordar. La segunda es que una página que solo enseña lo que le sale bien no demuestra nada — cualquiera aprueba un examen que se ha puesto él mismo.

Un detalle técnico por si lo buscas en el panel de arriba y no lo encuentras: el subdominio de envío no aparece ahí, y es correcto. Solo envía, no recibe, así que no publica servidores de correo; el comprobador diría «sin MX» y marcaría un fallo que no existe. Lo que ves arriba es el dominio principal, el que recibe.

Qué no demuestra esta página

El DNS público es lo que cualquiera puede comprobar, y por eso lo enseño. Pero el DNS no es toda la entregabilidad: la reputación de la IP que envía, el contenido de los mensajes y lo que hace tu servidor por dentro no se ven desde aquí, ni en mi dominio ni en el tuyo. Quien te venda «entregabilidad garantizada» mirando solo esto te está vendiendo humo — la decisión final de si un correo entra en la bandeja es siempre de Gmail y de Microsoft, no mía.

¿Quieres que mire el tuyo?

Mismo criterio, mismo orden y el informe que ves aquí, pero con tu dominio. Te llamo, te digo qué encuentro y te confirmo el precio cerrado por escrito antes de tocar nada. Si resulta que el arreglo es de tu proveedor y te lo hacen gratis, te lo digo en esa primera llamada y no hay factura.

Cuéntame qué pasa

Dos datos y te llamo. En horario laboral, en menos de 2 horas.

El que va detrás de la arroba

¿Prefieres hablar ya? Llama al 950 83 63 44  o  escríbeme por WhatsApp .

Llamar WhatsApp Ayuda con mi correo