Entregabilidad de email en ecommerce: SPF, DKIM y DMARC para que tus correos lleguen a la bandeja de entrada

Una tienda puede tener el mejor flujo de bienvenida, el carrito abandonado mejor escrito y la campaña de fin de temporada más creativa del año. Si los correos no llegan a la bandeja de entrada, nada de eso cuenta. Muchos equipos de ecommerce miden las aperturas y los clics sin mirar el paso previo, que es si el mensaje siquiera se entregó donde debía.

Este artículo es técnico y está pensado para quien ya tiene una operación de email en marcha: flujos automáticos (si todavía no los tenés, mirá cuáles conviene activar primero), campañas y una base de contactos que crece. Repasamos los tres registros DNS que autentican tu dominio (SPF, DKIM y DMARC), cómo verificarlos, qué métricas mirar y qué errores suelen hundir la entregabilidad sin que nadie lo note.

Por qué la entregabilidad es un problema de autenticación

Los proveedores de correo (Gmail, Outlook, Yahoo y otros) tienen que decidir, para cada mensaje, si es legítimo. Para hacerlo, verifican que quien envía sea quien dice ser. Esa verificación se apoya en tres mecanismos que se publican en el DNS de tu dominio:

• SPF indica qué servidores tienen permiso para enviar correo en nombre de tu dominio.
• DKIM firma criptográficamente cada mensaje, y la clave pública queda publicada en el DNS para que el receptor la valide.
• DMARC le dice al receptor qué hacer cuando SPF o DKIM fallan, y le pide reportes sobre quién envía en tu nombre.

Desde 2024, Google y Yahoo exigen estos requisitos a los remitentes masivos. En términos generales: autenticar con SPF y DKIM, tener DMARC para el volumen más alto, facilitar la baja con un clic y mantener la tasa de quejas por spam por debajo del 0,3%. Los umbrales y requisitos exactos cambian con el tiempo, así que conviene revisar la documentación vigente de cada proveedor antes de dar algo por cerrado.

Paso 1: SPF, la lista de remitentes autorizados

El registro SPF es un TXT en la raíz de tu dominio que enumera los servidores autorizados. Un ejemplo típico:

v=spf1 include:_spf.proveedor-de-email.com ~all

Algunas reglas prácticas:

• Puede existir un solo registro SPF por dominio. Si tenés dos, el resultado suele ser un error permanente. Unificalos en uno.
• Cada include suma consultas DNS. El límite son 10 búsquedas de DNS por evaluación; si lo superás, SPF falla con permerror.
• Usá ~all (softfail) mientras pruebas y -all (fail) cuando estés seguro de la lista. Un +all deja el dominio abierto a cualquiera.
• No agregues proveedores "por las dudas". Cada remitente que no usás es un punto más de exposición.

Paso 2: DKIM, la firma de cada mensaje

DKIM firma el encabezado y el cuerpo del correo con una clave privada. El proveedor de email te da un selector y una clave pública, y vos publicás un registro TXT con este formato:

selector._domainkey.tudominio.com  TXT  "v=DKIM1; k=rsa; p=CLAVE_PUBLICA"

El selector identifica la clave, así que podés tener varias (una para transaccionales y otra para marketing). Eso ayuda a rotar claves sin cortar el envío. Un detalle que muchos pasan por alto: si el mensaje se reenvía o se modifica en el camino, la firma puede romperse, por eso conviene que DKIM sea uno de los dos mecanismos sólidos y no el único.

Paso 3: DMARC, la política y el reporte

DMARC se publica como TXT en _dmarc.tudominio.com. Un arranque prudente es:

v=DMARC1; p=none; rua=mailto:dmarc-reportes@tudominio.com; pct=100; adkim=r; aspf=r

El registro funciona así:

• p=none solo monitorea. No cambia nada en la entrega, pero te deja ver quién envía en tu nombre.
• p=quarantine manda a spam los mensajes que fallan.
• p=reject los rechaza directamente.

La clave de DMARC es el alineamiento: el dominio que aparece en el "From" tiene que coincidir con el dominio validado por SPF o DKIM. Un SPF que pasa pero valida otro dominio no alcanza para DMARC.

Recomendación de avance: empezá con p=none, leé los reportes durante algunas semanas, corregí los remitentes que fallan (por ejemplo, un formulario del sitio que envía desde un servidor no autorizado) y recién después subí a quarantine y luego a reject.

Paso 4: verificá antes de enviar

Antes de cada cambio, comprobá lo que ve el mundo exterior:

• Revisá el encabezado del mensaje recibido en Gmail: en "Mostrar original" aparecen los resultados de SPF, DKIM y DMARC.
• Consultá tus registros con una herramienta de consulta DNS o con un validador de dominio.
• Enviá un correo de prueba a una cuenta propia en cada proveedor principal y mirá en qué bandeja cae.

Si algo falla, el encabezado te dice qué mecanismo y qué dominio. Es el dato más útil para diagnosticar.

Un caso para pensar (ilustrativo)

(Caso ilustrativo basado en situaciones habituales del sector.) Una tienda de indumentaria manda sus flujos desde un proveedor de email, pero el formulario de contacto del sitio envía desde un servidor propio sin firma DKIM. Durante meses, las consultas llegan bien a la casilla del dueño, pero la mitad de los emails de confirmación de pedido termina en spam en Outlook. El equipo ve caer las tasas de apertura y culpa al asunto del mensaje.

La solución no pasó por reescribir asuntos. Se unificó el SPF, se agregó la firma DKIM al servidor del formulario y se publicó un DMARC en modo monitoreo. En dos semanas, las aperturas de los correos transaccionales volvieron a los niveles previos. Lo que parecía un problema de copy era un problema de autenticación.

Métricas que conviene seguir

Medí la entregabilidad, no solo la apertura. Como mínimo:

• Tasa de entrega: correos entregados sobre correos enviados.
• Tasa de quejas por spam: debe mantenerse por debajo del 0,3%. Es la métrica que más daño hace si se dispara.
• Tasa de rebote duro: direcciones inexistentes. Un valor alto indica una base de datos sucia.
• Aperturas por proveedor: Gmail, Outlook y Yahoo a veces muestran comportamientos distintos, y comparar te ayuda a detectar un problema puntual.
• Bajas por clic: tener un enlace de baja visible reduce las quejas, y es un requisito de los remitentes masivos.

Errores que hunden la entregabilidad

• Comprar o importar listas de contactos sin consentimiento. Además de las quejas, la base se degrada rápido.
• Enviar campañas a contactos inactivos hace meses. Conviene depurar la base y reactivar con una secuencia específica antes de desuscribir.
• Usar el mismo dominio y la misma IP para transaccionales y promociones masivas. Separar subdominios ayuda a aislar reputaciones.
• Cambiar de proveedor sin migrar bien los registros DNS. Es una de las causas más frecuentes de caídas repentinas.
• Enlaces acortados o dominios de redirección que no están autenticados. Muchos filtros los tratan con sospecha.
• Asuntos con mayúsculas excesivas, signos de exclamación en serie o palabras típicas de spam. Ayudan menos de lo que se cree, pero tampoco ayudan.

Checklist técnico

• ☐ Un único registro SPF que incluye solo los remitentes que uso.
• ☐ SPF con menos de 10 búsquedas DNS.
• ☐ DKIM activo para cada proveedor de envío, con selector documentado.
• ☐ DMARC publicado, con reportes rua que llegan a una casilla que alguien revisa.
• ☐ Alineamiento verificado para el dominio del "From".
• ☐ Encabezados revisados en Gmail y Outlook con resultados PASS.
• ☐ Enlace de baja visible y funcional en todos los correos de marketing.
• ☐ Base depurada: sin rebotes duros recurrentes ni contactos sin consentimiento.
• ☐ Tasa de quejas por spam medida cada semana.

Preguntas frecuentes

¿Alcanza con tener SPF? No. SPF valida el servidor que envía, pero no protege el contenido ni el "From" visible. Para una entregabilidad sólida necesitás SPF, DKIM y DMARC alineados.

¿Cuánto tarda en surtir efecto un cambio en DNS? Depende del TTL de cada registro y de cómo cachea cada proveedor. Esperá algunas horas o días antes de sacar conclusiones, y probá con correos reales.

¿Qué pasa si subo DMARC a reject y algo legítimo falla? Se rechaza el correo, por eso el paso por p=none y los reportes son obligatorios. Antes de llegar a reject, asegurate de que todos tus remitentes legítimos estén alineados.

¿Esto también aplica a los correos de la tienda? Sí. Los correos de confirmación de pedido, de envío y de recuperación de contraseña son transaccionales, y si no llegan, el cliente escribe por WhatsApp. Por eso conviene autenticarlos igual que la campaña.

Cómo se conecta esto con Orbitienda

Orbitienda te permite conectar un dominio propio, que es el punto de partida para que tus correos tengan una identidad consistente. La autenticación del correo (SPF, DKIM y DMARC) se configura en el proveedor de email que uses para tus envíos, no en la tienda, así que conviene coordinarla con quien administre tu dominio.

Mientras tanto, tener los pedidos, los pagos, los clientes y el stock en un mismo panel te ayuda a mantener limpia la base de contactos que alimenta tus flujos. Si estás armando tu tienda y querés una base sólida desde el principio, podés conocer más en orbitienda.com.