Cómo verificar las configuraciones de autenticación de correo electrónico
Qué aprenderás
Aprende a verificar que tus correos electrónicos se estén autenticando correctamente con los registros SPF, DKIM y DMARC.
La mayoría de los proveedores de bandeja de entrada aplican requisitos para remitentes a la plataforma de envío masivo. Configurar la autenticación DMARC es una parte clave para cumplir esos requisitos. Como referencia, Google considera plataforma de envío masivo a quienes envían unos 5000 mensajes o más a cuentas personales de Gmail en 24 horas, y cuenta juntos los mensajes del mismo dominio principal y sus subdominios.
Autenticación de correo electrónico
La «autenticación de correo electrónico» se refiere a las normas técnicas que permiten la verificación de la identidad de un remitente de correo electrónico. Los estándares de autenticación de correo electrónico más utilizados son SPF, DKIM y DMARC. Los servidores de correo utilizan estos protocolos de autenticación para verificar que los correos electrónicos entrantes provengan de remitentes legítimos, protegiendo tu marca y a tus clientes de actores maliciosos.
Obtén información sobre la autenticación de email y configura DMARC Primeros pasos.
Verifica la autenticación con los encabezados de correo electrónico
Acerca de los encabezados de correo electrónico
Un encabezado de correo electrónico contiene metadatos sobre un correo electrónico y la ruta de red que ha seguido. Esto incluye información como la dirección del remitente, el asunto, el destinatario y los detalles de autenticación clave.
Puedes usar la información de autenticación que se encuentra en el encabezado de un email enviado por tu marca para verificar que SPF, DKIM y DMARC se están aprobando. Comprueba un email enviado después de los cambios de autenticación más recientes. Si usas dominios de envío separados para emails de marketing, transaccionales o de servicio, comprueba un email de cada tipo de envío.
Descubre cómo obtener tu encabezado completo de email en diferentes proveedores de bandeja de entrada.
Resumen del encabezado
Muchos proveedores de servicios de correo electrónico proporcionan un resumen de la información de autenticación clave en el encabezado del correo electrónico.
Encabezado completo
En el encabezado completo del correo electrónico, la información clave de autenticación puede ser la siguiente:
Delivered-To: email@klaviyo.com
Received: by 2002:a59:9a44:0:b0:437:660e:55f2 with SMTP id a4csp4934052vqp;
Sun, 10 Dec 2023 16:03:01 -0800 (PST)
Authentication-Results: mx.google.com;
dkim=pass header.i=@klaviyo.com header.s=s1 header.b=kBByyR4j;
spf=pass (google.com: domain of bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com designates 000.000.00.000 as permitted sender) smtp.mailfrom="bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com";
dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=klaviyo.comEl encabezado del correo electrónico que ves puede variar según el proveedor de servicios de correo electrónico, pero la información clave de autenticación debe estar activa en la sección llamada Authentication-Results.
SPF
El marco de políticas para remitentes (SPF, por sus siglas en inglés) es un método de autenticación de correo electrónico diseñado para detectar direcciones de remitente falsificadas durante la entrega. SPF permite al servidor de correo receptor verificar que los correos electrónicos procedentes de un dominio específico se hayan enviado a través de una dirección IP autorizada por los administradores de ese dominio.
Si tu proveedor de servicios de correo electrónico tiene un resumen de encabezado, deberías ver SPF junto con un valor de aprobación o error y la dirección IP a través de la cual se envió el correo electrónico.
En el encabezado completo del email, spf=pass indica que la dirección IP utilizada para enviar el email tiene permiso para enviar para el dominio que se muestra en smtp.mailfrom. En este ejemplo, ese dominio es send.klaviyo.com. Puede ser distinto del dominio de la dirección del remitente que ven los destinatarios.
Authentication-Results: mx.google.com; dkim=pass header.i=@klaviyo.com header.s=s1 header.b=kBByyR4j; spf=pass (google.com: domain of bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com designates 000.000.00.000 as permitted sender) smtp.mailfrom="bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com"; dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=klaviyo.comDKIM
DomainKeys Identified Mail (DKIM) actúa como una firma digital añadida al encabezado de un correo electrónico para verificar la identidad del remitente. Los servidores de correo electrónico que reciben el correo comprueban que la firma DKIM coincida con la del dominio de envío asociado.
Si tu proveedor de servicios de correo electrónico tiene un resumen de encabezado, deberías ver DKIM junto con un valor de aprobación o error para el dominio desde el que se haya enviado el correo electrónico.
Dentro del encabezado completo del correo electrónico, puedes ver que el registro DKIM está pasando (dkim=pass), lo que indica que la firma digital establecida por DKIM coincide con la del dominio de envío asociado.
Nota para cuentas con varios dominios de envío de marca: cada email utiliza la configuración DKIM del dominio de envío seleccionado. En los dominios nuevos que usan el enrutamiento estático, el prefijo del selector identifica el tipo de envío del dominio: km para Marketing, kt para Transaccional, ks para Servicio. Los dominios estáticos antiguos pueden usar kl. Los dominios que usan el enrutamiento adaptativo pueden usar otros selectores, como mtd.
Authentication-Results: mx.google.com; dkim=pass header.i=@klaviyo.com header.s=s1 header.b=kBByyR4j; spf=pass (google.com: domain of bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com designates 000.000.00.000 as permitted sender) smtp.mailfrom="bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com"; dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=klaviyo.comDMARC
DMARC son las siglas de domain-based message authentication, reporting, and compliance (autenticación de mensajes basada en dominios, informes y conformidad). Es un protocolo que utiliza SPF y DKIM para determinar la autenticidad de un correo electrónico, lo que otorga a los propietarios de dominios la capacidad de proteger su dominio de un uso no autorizado.
DMARC proporciona instrucciones a los servidores receptores sobre cómo gestionar los email que no superan la autenticación. Para pasar DMARC, un email debe pasar SPF o DKIM, y el dominio que lo pase debe alinearse con el dominio de la dirección del remitente visible. Con una alineación relajada, los dominios deben compartir el mismo dominio raíz; la alineación estricta requiere una coincidencia exacta. Los mensajes que no superan DMARC pueden permitirse, rechazarse o colocarse en la carpeta de spam, según la política y el servidor receptor.
Superar DMARC no garantiza la entrega en la bandeja de entrada. Los proveedores de bandeja de entrada pueden establecer requisitos adicionales. Por ejemplo, Gmail exige que las plataformas de envío masivo se autentiquen con SPF y DKIM, aunque solo una tenga que alinearse para DMARC.
Si tu proveedor de servicios de correo electrónico tiene un resumen de encabezado, deberías ver DMARC junto con un valor de aprobación o error.
Dentro del encabezado completo del email, dmarc=pass indica que el email superó la comprobación de DMARC para el dominio de la dirección del remitente que se muestra en header.from. En este ejemplo, ese dominio es klaviyo.com. También puedes ver la política de DMARC aplicada a ese dominio (por ejemplo, p=reject).
Authentication-Results: mx.google.com; dkim=pass header.i=@klaviyo.com header.s=s1 header.b=kBByyR4j; spf=pass (google.com: domain of bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com designates 000.000.00.000 as permitted sender) smtp.mailfrom="bounces+27486840-770f-email=klaviyo.com@send.klaviyo.com"; dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=klaviyo.comSi SPF o DKIM no funciona, revisa los registros DNS del dominio de envío de marca. Consulta Solución de problemas de dominio de envío de marca para obtener ayuda para comprobar esos registros. Si DMARC no funciona, comprueba el registro DMARC y si el dominio de la dirección del remitente se alinea con un dominio que haya superado SPF o DKIM. Después de corregir la configuración, comprueba un email recién enviado.
Comprueba tu registro DMARC publicado con una herramienta de terceros
Para verificar que la política DMARC se ha publicado correctamente, utiliza una herramienta de terceros como el verificador de DMARC que ofrece EasyDMARC. Introduce el dominio que se utiliza en la dirección del remitente, como yourbrand.com. Si envías desde un subdominio, comprueba ese subdominio para ver si tiene su propio registro DMARC y el dominio raíz para ver si hay una política heredada. Esta búsqueda comprueba la política publicada; utiliza el encabezado de un email recibido para verificar que el email supera la autenticación.
Si tu política DMARC está configurada como p=none, el Status aparecerá como Warning al usar EasyDMARC. Esta política no solicita el rechazo ni la colocación en spam de los email que no superen DMARC, por lo que no aplica protección contra la suplantación de identidad. No garantiza que los email lleguen a la bandeja de entrada principal. Un estado de Warning o Valid por sí solo no confirma que tus email superen la autenticación ni que cumplan todos los requisitos de remitente del proveedor de bandeja de entrada. Google permite una política DMARC de p=none, pero sus otros requisitos de plataforma de envío masivo siguen aplicándose.
Puedes ignorar los resultados de la elaboración de informes de EasyDMARC a menos que estés usando los servicios de elaboración de informes de EasyDMARC.