Guía de entregabilidad 2026: SPF, DKIM, DMARC y warm-up explicados

La entregabilidad es la capacidad de tus correos de llegar a la bandeja de entrada en lugar de a spam. En 2026 depende de tres pilares: autenticación técnica (SPF, DKIM y DMARC), reputación de remitente construida con warm-up y volúmenes prudentes, e higiene de lista con bajos rebotes y quejas. Fallar en cualquiera de los tres hace invisible tu prospección.

Esta guía explica cada pieza, cómo configurarla y qué cambió con los requisitos de Google y Yahoo para remitentes masivos.

¿Qué cambió con los requisitos de Google y Yahoo?

Desde febrero de 2024, según los requisitos para remitentes masivos publicados por Google y Yahoo, quien envía grandes volúmenes a sus usuarios debe cumplir condiciones que antes eran solo buenas prácticas: autenticar el correo con SPF y DKIM, publicar una política DMARC, mantener las quejas de spam por debajo de umbrales muy bajos y ofrecer baja en un clic en correos comerciales.

La consecuencia práctica es que la autenticación dejó de ser opcional. Un dominio sin SPF, DKIM y DMARC correctamente configurados parte con desventaja ante cualquier filtro moderno, envíe mucho o poco. Y como los umbrales de queja son estrictos, el margen de error para el correo irrelevante o mal segmentado se ha reducido drásticamente.

Para quien hace outbound B2B, esto no es una mala noticia: penaliza el spam masivo y premia a quien envía correo autenticado, segmentado y relevante.

¿Qué es SPF y cómo se configura?

SPF (Sender Policy Framework) es un registro DNS de tipo TXT que declara qué servidores están autorizados a enviar correo en nombre de tu dominio. Cuando un servidor receptor recibe un correo tuyo, consulta ese registro y comprueba si el servidor emisor está en la lista.

Puntos clave al configurarlo:

• Un solo registro SPF por dominio. Dos registros SPF hacen que la validación falle.
• Incluye todos tus servicios de envío (tu proveedor de correo, tu herramienta de envío, tu CRM si envía emails) mediante los include: que documenta cada proveedor.
• Respeta el límite de 10 consultas DNS. Demasiados include: anidados rompen la validación.
• Termina con una política, habitualmente ~all (soft fail) o -all (fail estricto).

SPF por sí solo es insuficiente: se rompe con reenvíos y no protege el contenido. Por eso existe DKIM. Tienes la definición ampliada en nuestro glosario de SPF.

¿Qué es DKIM y por qué importa tanto?

DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada correo. Tu servidor firma el mensaje con una clave privada; el receptor verifica la firma con la clave pública que publicas en tu DNS. Si la verificación pasa, el receptor sabe dos cosas: el correo salió realmente de tu dominio y no fue alterado por el camino.

Para configurarlo:

1. Genera el par de claves desde tu proveedor de correo o herramienta de envío.
2. Publica la clave pública como registro TXT en el selector que te indique el proveedor.
3. Activa la firma y verifica con un correo de prueba que la cabecera muestra dkim=pass.

DKIM sobrevive a los reenvíos (a diferencia de SPF) y es hoy la señal de autenticación con más peso. La entrada de DKIM del glosario amplía los detalles.

¿Qué es DMARC y qué política elegir?

DMARC (Domain-based Message Authentication, Reporting and Conformance) se apoya en SPF y DKIM y añade dos cosas: una política que dice a los receptores qué hacer cuando la autenticación falla, y un sistema de informes que te cuenta quién está enviando correo en nombre de tu dominio.

Las tres políticas posibles:

• p=none: solo monitorizar. Recibes informes, no se bloquea nada. Es el punto de partida correcto.
• p=quarantine: los correos que fallan van a spam.
• p=reject: los correos que fallan se rechazan. Máxima protección contra suplantación.

El camino sensato es empezar en none, revisar los informes durante un tiempo para confirmar que todo tu correo legítimo autentica bien, y endurecer progresivamente. Además, DMARC exige alineación: el dominio del remitente visible debe coincidir con el dominio validado por SPF o DKIM. Muchos fallos misteriosos de entregabilidad son, en realidad, fallos de alineación. Más detalle en la entrada de DMARC.

¿Cómo se hace un warm-up de buzones correctamente?

La autenticación te da permiso para jugar; la reputación decide si ganas. Un dominio o buzón nuevo no tiene historial, y los proveedores desconfían por defecto de remitentes sin historial que de pronto envían volumen.

El warm-up construye ese historial de forma gradual:

1. Semanas iniciales de volumen mínimo: pocos correos al día, idealmente con interacciones reales (respuestas, marcados como importante).
2. Incrementos graduales: se sube el volumen poco a poco, solo si las métricas acompañan.
3. Vigilancia constante: rebotes, ubicación en bandeja y quejas. Cualquier deterioro implica pausar y reducir.
4. Velocidad de crucero conservadora: incluso calentado, cada buzón mantiene un volumen diario bajo; se escala añadiendo buzones y dominios, no forzando cada buzón.

Dos reglas complementarias: usa dominios secundarios para el envío en frío, de modo que tu dominio principal quede protegido, y no consideres el warm-up como algo que termina —la reputación se mantiene, no se conquista una vez. En el glosario explicamos el warm-up de buzones con más profundidad.

Higiene de lista: el tercer pilar que casi todos ignoran

Puedes tener la autenticación perfecta y quemarte igualmente por la lista. Los filtros miran, sobre todo, cómo reaccionan los destinatarios a tu correo:

• Rebotes duros: direcciones inexistentes. Verifica cada email antes de enviar y elimina los rebotes de inmediato.
• Spam traps: direcciones trampa que solo llegan a tu lista si la compraste o no la limpias. Una razón más para no comprar bases de datos jamás.
• Quejas: la métrica más letal. Se combate con relevancia: segmento correcto, mensaje correcto, opción clara de decir "no me escribas más".
• Silencio absoluto: enviar durante meses a quien nunca interactúa también degrada la señal. Depura.

Checklist de entregabilidad para 2026

• SPF publicado, único y dentro del límite de consultas DNS.
• DKIM firmando en todos los servicios que envían por ti.
• DMARC publicado, informes revisados, política endurecida cuando los datos lo permitan.
• Dominios secundarios para prospección; el principal, intocable.
• Warm-up completado antes de cualquier campaña y volúmenes por buzón conservadores.
• Lista verificada, rebotes purgados, baja fácil en cada correo.

Antes de enviar un correo más

Si tu prospección no obtiene respuestas, la causa puede no ser el mensaje: puede que nadie lo esté viendo. Una revisión técnica de dominios, autenticación y reputación suele aflorar problemas invisibles desde dentro. Es exactamente una de las cosas que revisamos en la auditoría de outbound. Si quieres saber en qué estado está tu sistema, reserva una llamada estratégica y lo vemos sobre tu configuración real.