Correos desde una IP nueva que llegan a spam: rDNS, SPF, DKIM, DMARC y calentamiento de IP
El correo enviado desde una IP de servidor completamente nueva suele acabar en spam o ser rechazado directamente, aunque el mensaje sea totalmente legítimo. Los proveedores de correo juzgan una IP nueva primero por su configuración técnica y después por su comportamiento de envío durante las semanas siguientes. Esta guía recorre la lista de comprobación que decide si su correo se acepta: el puerto 25 saliente, el DNS inverso, SPF, DKIM y DMARC, TLS, los requisitos para remitentes de Gmail y Yahoo, cómo calentar una IP nueva y cómo probar el resultado. Para montar un servidor de correo completo, consulte también cómo ejecutar su propio servidor de correo con Mailcow o Postal.
Paso 1: Comprobar que el puerto 25 saliente funciona
Muchos proveedores bloquean por defecto el puerto 25 saliente para frenar el spam. Pruébelo desde el servidor:
# Should print "Connected" or an SMTP banner starting with 220
nc -vz -w 5 gmail-smtp-in.l.google.com 25
timeout 5 bash -c 'cat < /dev/tcp/gmail-smtp-in.l.google.com/25' | head -1Si la conexión agota el tiempo de espera, el SMTP saliente está bloqueado en su servicio; abra un ticket de soporte y explique qué va a enviar.
Paso 2: Configurar el DNS inverso y el nombre de host
El registro PTR de la IP debe resolver al nombre de host de su servidor de correo, y el registro A de ese nombre de host debe apuntar de vuelta a la misma IP (DNS inverso confirmado en sentido directo, o FCrDNS). El servidor también debe presentarse ante otros servidores de correo (HELO/EHLO) con ese nombre de host.
dig -x 203.0.113.10 +short # expect: mail.example.com.
dig mail.example.com A +short # expect: 203.0.113.10
hostnamectl set-hostname mail.example.com
postconf -e 'myhostname = mail.example.com' # if you use PostfixEl DNS inverso lo configura el propietario del bloque de IP; consulte cómo configurar registros rDNS / PTR.
Paso 3: Publicar SPF
SPF enumera los servidores autorizados a enviar correo en nombre de su dominio. Publique un único registro TXT en el dominio:
example.com. TXT "v=spf1 ip4:203.0.113.10 -all"
# If you also send through another service, include it in the same single record, e.g.
# "v=spf1 ip4:203.0.113.10 include:_spf.example-mailservice.com -all"
dig TXT example.com +shortSolo se permite un registro SPF por dominio; con dos registros, SPF falla.
Paso 4: Firmar el correo con DKIM
DKIM añade una firma criptográfica a cada mensaje. La mayoría de las suites de correo (Mailcow, iRedMail, Mail-in-a-Box) generan la clave por usted; con Postfix y OpenDKIM:
apt install -y opendkim opendkim-tools
mkdir -p /etc/opendkim/keys/example.com
opendkim-genkey -b 2048 -d example.com -s mail -D /etc/opendkim/keys/example.com/
chown -R opendkim:opendkim /etc/opendkim/keys
cat /etc/opendkim/keys/example.com/mail.txt # the DNS record to publish
# After publishing mail._domainkey.example.com TXT "v=DKIM1; k=rsa; p=..." check it:
dig TXT mail._domainkey.example.com +shortA continuación, conecte OpenDKIM a Postfix como milter según la documentación de su distribución y confirme que los mensajes enviados llevan la cabecera DKIM-Signature.
Paso 5: Publicar DMARC
DMARC indica a los receptores qué hacer cuando SPF y DKIM no están alineados con el dominio del remitente (From) y le envía informes. Empiece en modo de monitorización y endurezca la política cuando los informes estén limpios.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
# Later, when legitimate mail passes consistently:
# "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
# "v=DMARC1; p=reject; rua=mailto:[email protected]"Paso 6: Cumplir los requisitos de Gmail y Yahoo
Desde 2024, Gmail y Yahoo exigen a todos los remitentes SPF o DKIM válidos, DNS inverso confirmado en sentido directo y TLS, además de mantener bajas las tasas de quejas por spam. Los remitentes masivos (unos 5000 mensajes o más al día a Gmail) deben tener además SPF y DKIM, un registro DMARC, un dominio From alineado y baja con un solo clic en el correo de marketing. Use un certificado TLS válido en su servidor de correo (consulte SSL gratuito con Certbot o acme.sh) para que las conexiones vayan cifradas.
Paso 7: Calentar la IP nueva
Una IP nueva no tiene reputación. Un gran volumen de envíos desde ella el primer día parece una campaña de spam. Aumente el volumen de forma gradual y envíe primero a los destinatarios con más probabilidades de abrir y responder.
| Periodo | Mensajes al día (orientativo) | Notas |
|---|---|---|
| Días 1–3 | 50–100 | Destinatarios más activos, correo transaccional |
| Días 4–7 | 200–500 | Vigile los rebotes y la llegada a la carpeta de spam |
| Semana 2 | 1000–2000 | Aumente solo si las quejas siguen siendo bajas |
| Semanas 3–4 | Duplicar cada pocos días | Reduzca de inmediato si aumentan los aplazamientos (deferrals) |
Registre su dominio en Google Postmaster Tools y su IP en Microsoft SNDS para ver cómo valoran estos proveedores su tráfico.
Paso 8: Probar y monitorizar
- Envíe un mensaje a un servicio de prueba como mail-tester.com; puntúa SPF, DKIM, DMARC, rDNS, listas negras y contenido.
- Envíe un mensaje a sus propias direcciones de Gmail y Outlook y abra Show original (Mostrar original): la cabecera
Authentication-Resultsdebe mostrarspf=pass,dkim=passydmarc=pass. - Compruebe la IP en listas negras con regularidad (consulte cómo comprobar una IP en listas negras) y lea los informes DMARC.
Preguntas frecuentes
¿Todo está correcto, pero Gmail sigue enviando mi correo a spam?
Entonces el problema es la reputación y el contenido. Reduzca el ritmo, envíe solo a destinatarios activos, elimine las direcciones que rebotan, evite los acortadores de enlaces y los mensajes que solo contienen una imagen, y dé a la IP y al dominio unas semanas para crear un historial.
¿Debo usar una IP independiente para el correo de marketing?
Sí, si envía ambos tipos. Mantener el correo transaccional (restablecimiento de contraseñas, facturas) en su propia IP y en su propio dominio o subdominio lo protege de la reputación de las campañas de marketing.
¿Es más fácil usar un servicio de envío de correo?
Para grandes volúmenes, a menudo sí. Puede seguir ejecutando sus aplicaciones en su propio servidor y retransmitir el correo a través de un servicio de envío de buena reputación, que gestiona la reputación de la IP por usted.
¿Sigue sin resolverlo después de seguir estos pasos? Abra un ticket de soporte y el equipo técnico de IMIDC, disponible 24/7, le ayudará. Incluya la IP del servidor, el nombre de host y el dominio de correo, el resultado de la prueba del puerto 25 y el mensaje de rebote completo o el informe de prueba para que podamos localizar el problema más rápido.