Entregabilidad del email: SPF, DKIM, DMARC y calentamiento

La entregabilidad del email es si su mensaje llega a la bandeja de entrada, no si el servidor receptor lo aceptó. Eso segundo es la entrega, y casi todas las herramientas de envío lo informan como «entregado». Un mensaje clasificado directamente en la carpeta de spam cuenta como entregado. En esa diferencia es donde los remitentes pierden meses.

Los proveedores de correo deciden la ubicación de cada mensaje usando señales de tres grupos. Identidad: ¿pueden demostrar quién envió esto? Reputación: ¿cómo han reaccionado antes los destinatarios al correo de este dominio y esta IP? Contenido: ¿el mensaje se parece a correo del que la gente se quejó? La identidad se resuelve con SPF, DKIM y DMARC y está por completo en su mano. La reputación se gana despacio y se pierde deprisa. El contenido es lo que menos pesa, y por eso reescribir asuntos rara vez arregla un problema de ubicación.

La consecuencia práctica: arregle primero la autenticación, porque es una tarde de trabajo con un beneficio permanente, y a partir de ahí trate todo lo demás como gestión de reputación. No hay cabecera, registro ni ajuste que haga que el correo enviado a una mala lista llegue a la bandeja de entrada.

SPF es un registro TXT en su dominio que lista los servidores autorizados a enviar correo usándolo. Un registro mínimo tiene este aspecto: v=spf1 include:_spf.su-proveedor.example ~all. El servidor receptor toma el remitente del sobre —el Return-Path, no la dirección De visible—, lee el registro SPF de ese dominio y comprueba si la IP que conecta está autorizada.

Tres detalles causan la mayoría de los fallos de SPF:

• El límite de diez consultas. Cada include, a, mx y redirect cuesta una consulta DNS, y los include anidados también cuentan. Si pasa de diez, el registro devuelve un error permanente que los receptores pueden tratar como un fallo. Revíselo cada vez que añada una herramienta.
• Un solo registro. Dos registros TXT de SPF en el mismo dominio es un error, no una fusión. Combínelos en uno.
• ~all frente a -all. El softfail marca el correo no autorizado; el hardfail pide a los receptores que lo rechacen. Pase a -all solo cuando esté seguro de que todos los remitentes legítimos están listados.

SPF se rompe con el reenvío, porque la IP del servidor que reenvía no está en su registro. No es un fallo que usted pueda arreglar, y es justo por eso que existe DKIM y por lo que DMARC acepta que pase cualquiera de los dos mecanismos.

DKIM añade una firma criptográfica a las cabeceras del mensaje. Usted publica una clave pública como registro TXT en selector._domainkey.sudominio.com; su plataforma de envío guarda la clave privada y firma cada mensaje. El receptor recupera la clave pública, verifica la firma y así sabe que el mensaje fue autorizado por el dominio de la etiqueta d= y no se alteró por el camino.

Cuestiones prácticas:

• Use una clave de 2048 bits si su proveedor de DNS lo admite. La de 1024 bits sigue verificándose, pero es la opción más débil.
• Dé a cada plataforma de envío su propio selector, para poder rotar o eliminar uno sin tocar los demás.
• El dominio firmante de d= debería coincidir con el dominio de su De, o la alineación de DMARC fallará aunque DKIM en sí haya pasado.
• Rote las claves de forma periódica y borre los selectores de herramientas que ya no usa: una clave sin uso es una invitación permanente.

Como la firma viaja con el mensaje, DKIM sobrevive a los reenvíos sencillos donde SPF no. Si solo fuera a configurar uno de los dos, DKIM sería el más valioso. Configure los dos igualmente: los receptores los ponderan de forma distinta, y DMARC es mucho más robusto cuando cualquiera de los dos puede sostener la alineación.

DMARC ata SPF y DKIM a la dirección que el lector ve de verdad. Un mensaje pasa DMARC cuando SPF o DKIM pasan y el dominio que se autenticó coincide con el dominio del De. Esa coincidencia se llama alineación, y es la parte que se le escapa a la gente: un mensaje puede pasar SPF perfectamente en el dominio de un proveedor y aun así fallar DMARC porque la cabecera De dice otra cosa.

El registro es una entrada TXT en _dmarc.sudominio.com, por ejemplo v=DMARC1; p=none; rua=mailto:[email protected]. La etiqueta de política dice a los receptores qué hacer con los fallos:

• p=none: solo monitorizar. Empiece aquí, para ver quién envía en su nombre.
• p=quarantine: los fallos van a spam. Pase aquí cuando los informes estén limpios.
• p=reject: los fallos se rechazan directamente. Es el estado objetivo y el que impide que otros suplanten su dominio.

Los informes agregados que llegan a su dirección rua son XML y resultan desagradables de leer en bruto; cualquier analizador de informes DMARC sirve. Léalos durante unas semanas antes de endurecer la política. Los requisitos publicados por Google y Yahoo para remitentes masivos ya esperan un registro DMARC, autenticación alineada, baja en un clic y tasas de queja bajas, así que nada de esto es mantenimiento opcional en cuanto se envía con volumen.

Un dominio nuevo no tiene reputación, y los proveedores de correo tratan la ausencia de reputación con sospecha. El calentamiento construye un historial de envío: empiece con un puñado de mensajes por buzón y día, aumente de forma gradual durante dos a cuatro semanas y asegúrese de que una parte significativa de ese correo temprano se abre y se responde.

Lo que hace el calentamiento es demostrar que este dominio envía correo con el que la gente interactúa. Lo que no puede hacer es reparar una mala lista, absorber una tasa de rebote alta ni compensar las denuncias por spam. Caliente un dominio con cuidado y luego envíe una lista comprada y caduca, y solo habrá calentado el camino hacia una quema más rápida.

Reglas prácticas:

• Autentique antes de calentar, no después. El correo sin autenticar durante el calentamiento le enseña a los receptores la lección equivocada.
• No multiplique el volumen el día en que termina el calentamiento. Súbalo semana a semana.
• Reparta el volumen real de campaña entre varios buzones en lugar de forzar uno.
• Vigile la ubicación en bandeja durante la subida y pause la subida cuando empeore en lugar de seguir adelante.

El módulo de outreach y automatización de marketing de Growmindr gestiona el calentamiento, la limitación por dominio y las ventanas de envío junto a las propias secuencias, lo que ayuda sobre todo a evitar que la subida de volumen y el calendario de campañas se peleen entre sí.

Un rebote duro es un rechazo permanente: el buzón no existe, o el dominio no acepta correo en absoluto. Un rebote blando es temporal —buzón lleno, servidor ocupado, greylisting— y merece unos cuantos reintentos antes de darlo por perdido.

Los que hacen daño son los rebotes duros. Le dicen al proveedor receptor que usted no sabe quién está en su lista, que es la característica que define a un spammer. Toda dirección con rebote duro debe suprimirse de forma permanente e inmediata, en todas partes, y no volver a intentarse.

Mantenga la tasa de rebote duro, como mucho, en el rango de un dígito bajo, y trate cualquier cifra superior como una señal de parar y arreglar, no como una métrica que observar. La solución casi nunca está en la configuración de envío; está en la lista. Verifique cada dirección antes de que entre en una secuencia, vuelva a verificar las listas de más de unos meses y mantenga fuera de las campañas en frío las direcciones de rol como info@, ventas@ y soporte@, ya que rebotan más a menudo y se quejan más cuando no rebotan.

Lea el patrón además de la tasa. Los rebotes concentrados en un solo dominio destinatario suelen significar que ese dominio le está bloqueando, no que esas direcciones sean inválidas: es otro problema con otra solución.

Una denuncia por spam es la señal negativa más fuerte que puede enviar un destinatario, los proveedores le dan mucho peso y actúan rápido. Las tasas de queja se miden en fracciones de un punto porcentual, así que la tolerancia es mucho más estrecha de lo que suponen la mayoría de los remitentes: los requisitos publicados por Google y Yahoo para remitentes masivos fijan la tasa aceptable bastante por debajo del uno por ciento y esperan que uno se mantenga holgadamente por debajo del límite, no rozándolo.

No puede ver las quejas en todos los proveedores, pero sí en algunos. Regístrese en los feedback loops donde se ofrezcan, use Google Postmaster Tools para vigilar la reputación del dominio y la tasa de spam del tráfico hacia Gmail, y trate cualquier movimiento al alza como urgente y no como interesante.

La interacción positiva también cuenta, y por eso la relevancia gana al volumen. Las respuestas son la señal positiva más fuerte, seguidas de los mensajes sacados de spam, marcados o archivados. Borrar sin abrir es levemente negativo. Un periodo largo sin ninguna interacción por parte de un destinatario es una razón para dejar de escribirle, no para intentarlo una quinta vez.

Así que pode a los no interactivos de forma periódica. Una lista que solo conserve a quienes interactuaron en los últimos meses rendirá mejor que una lista tres veces mayor, tanto en ubicación como en respuestas.

La entregabilidad se deteriora en silencio. Algo cambia —una herramienta nueva empieza a enviar en su nombre, una edición de DNS se lleva un registro, una campaña provoca quejas— y nada lo anuncia. Media hora al mes detecta casi todo.

• Autenticación: SPF se resuelve dentro de las diez consultas y existe una sola vez; DKIM se verifica en todas las plataformas de envío activas; el registro DMARC está presente con la política que usted quería.
• Informes DMARC: ¿alguna fuente nueva enviando en nombre de su dominio? ¿Alguna fuente legítima fallando la alineación?
• DNS inverso: el registro PTR de la IP de envío resuelve a un nombre de host que a su vez resuelve de vuelta a ella.
• Listas de bloqueo: compruebe sus dominios e IP de envío en las principales listas públicas.
• Tendencia de rebotes y quejas: la dirección importa más que la cifra de un mes concreto.
• Prueba con buzones semilla: envíe un mensaje real de campaña a sus propias cuentas en los principales proveedores y anote dónde cae.
• Baja: la cabecera de baja en un clic está presente en el correo masivo, y las bajas se suprimen de verdad en todas las campañas.

Anote el resultado cada mes. Un mes de cifras no le dice casi nada; seis meses de las mismas cifras le dicen exactamente cuándo empezó el problema, que suele ser la mayor parte del diagnóstico.