Resumen de IA
¿Ves “dmarc=fail” en un mensaje de rebote o en la cabecera de un correo electrónico? Eso es un fallo de DMARC: los proveedores de bandeja de entrada no pudieron confirmar que tu dominio envió el correo. Por lo tanto, pueden enviarlo a la carpeta de spam o rechazarlo directamente.
WordPress puede enviar correos electrónicos tal cual, pero no puede enviarlos firmados con tu dominio. Por lo tanto, tus registros pueden parecer correctos, pero el fallo se reduce a la alineación.
En esta guía, te mostraré cómo encontrar la causa y solucionarla con WP Mail SMTP.
- Qué significa un fallo de DMARC
- Errores de rebote de DMARC por proveedor
- Cómo encontrar la causa en las cabeceras de tu correo electrónico
- Causas comunes de fallo de DMARC (y la solución para cada una)
- Cómo solucionar el fallo de DMARC en WordPress con WP Mail SMTP
- Solución de problemas de fallos de DMARC después de la configuración
- Cómo hacer que tus correos electrónicos pasen DMARC
- Preguntas frecuentes
Qué significa un fallo de DMARC
Un fallo de DMARC significa que ni SPF ni DKIM pasaron para tu dominio de remitente.
Pasar no es suficiente por sí solo. Al menos una comprobación tiene que pasar y alinearse con el dominio de remitente.
Por eso un mensaje puede mostrar spf=pass y dkim=pass pero aun así fallar DMARC. Ambas comprobaciones pasaron, pero para el dominio de otra persona. Para más detalles, consulta nuestra guía de SPF, DKIM y DMARC.
La regla de alineación en una tabla
Cada correo electrónico lleva 3 dominios que DMARC compara. Aquí es donde vive cada uno:
| Dominio | Dónde vive | Para qué sirve |
|---|---|---|
| Dominio de remitente | La cabecera From: que ve tu destinatario | El dominio que protege DMARC |
| Dominio SPF | La ruta de retorno (smtp.mailfrom) | A dónde van los rebotes |
| Dominio DKIM | La etiqueta d= en la firma DKIM | Quién firmó el mensaje |
DMARC pasa cuando el dominio SPF o el dominio DKIM coincide con el dominio de remitente. Así es como se combinan los resultados:
| ¿SPF pasa y se alinea? | ¿DKIM pasa y se alinea? | Resultado DMARC |
|---|---|---|
| Sí | Sí | Pasa |
| Sí | No | Pasa |
| No | Sí | Pasa |
| No | No | Fallo |
Por defecto, DMARC utiliza la alineación relajada. Esto significa que un subdominio como mail.example.com todavía se alinea con example.com.
Qué le sucede a un correo electrónico que falla DMARC
Lo que sucede a continuación depende de la política en el registro DMARC del remitente. Hay 3 opciones:
- p=none: El receptor entrega el correo electrónico como de costumbre y te envía un informe.
- p=quarantine: El receptor mueve el correo electrónico a la carpeta de spam o correo no deseado.
- p=reject: El receptor rechaza el correo electrónico y el remitente recibe un rebote.
Incluso bajo p=none, un fallo en la comprobación todavía perjudica tu reputación como remitente. Y desde febrero de 2024, Gmail y Yahoo exigen que los remitentes masivos superen la alineación DMARC.
Errores de rebote de DMARC por proveedor
Cada proveedor de buzones de correo expresa un fallo DMARC de manera diferente. Si has recibido un rebote, compáralo con esta tabla:
| Proveedor | Error que verás | Qué significa |
|---|---|---|
| Gmail | 550 5.7.26 El correo no autenticado de example.com no se acepta debido a la política DMARC del dominio | Fallo de DMARC y tu política es reject |
| Gmail | 421 4.7.32 (limitado por tasa) o 421 5.7.32 (bloqueado) "la cabecera From: ... no está alineada con el dominio organizativo SPF o DKIM autenticado" | SPF o DKIM pasaron, pero no para tu dominio From |
| Gmail | 451 4.7.26 "fallos temporales de DNS impiden la autenticación" | Gmail no pudo consultar tus registros. Volverá a intentarlo |
| Microsoft 365 / Outlook | 550 5.7.509 Acceso denegado, el dominio remitente example.com no supera la verificación DMARC y tiene una política DMARC de rechazo | Fallo de DMARC bajo una política de reject |
| Yahoo / AOL | 554 5.7.9 Mensaje no aceptado por razones de política | Un rechazo por política. Un fallo DMARC es una causa común |
| Mimecast | Autenticación DNS: Fallo DMARC | Mimecast retuvo o rechazó el mensaje por fallo de DMARC |
| Cualquier cabecera | dmarc=fail en Authentication-Results | El receptor ejecutó la comprobación y falló |
Si solo los destinatarios de una empresa están rebotando, pide a su administrador la cabecera Authentication-Results del mensaje rebotado. Muestra si SPF, DKIM o la alineación fallaron en su lado.
Cómo encontrar la causa en las cabeceras de tu correo electrónico
Una forma rápida de encontrar la causa es leer la cabecera de autenticación del correo electrónico. Te dice qué comprobación falló y qué dominio utilizó cada comprobación.
Paso 1: Abrir las cabeceras del correo electrónico
Primero, envía un correo electrónico desde tu sitio a tu dirección de Gmail. Puedes hacerlo desde WP Mail SMTP » Herramientas » Prueba de correo.
Abre el correo en Gmail. Luego haz clic en el icono ⋮ (Más) y elige Mostrar original.
Gmail muestra una tabla resumen en la parte superior con los resultados de SPF, DKIM y DMARC. Debajo está la cabecera sin procesar.
Paso 2: Leer la línea Authentication-Results
Desplázate hasta la línea que comienza con Authentication-Results. Aquí tienes un ejemplo típico de fallo:
Authentication-Results: mx.google.com;
dkim=pass [email protected] header.s=s1;
spf=pass [email protected];
dmarc=fail (p=REJECT sp=REJECT dis=REJECT) header.from=example.com
Compara los 3 dominios de esa línea:
- header.from:
example.comes el dominio From. - smtp.mailfrom:
em.mailservice.netes el dominio SPF. No coincide. - header.i o header.d:
em.mailservice.netes el dominio DKIM. Tampoco coincide.
Así que ambas comprobaciones pasaron, pero ninguna se alineó. Es un fallo clásico de DMARC.
Paso 3: Relacionar el resultado con una causa
Ahora compara el patrón que encontraste con una causa. Cada uno tiene su solución en la siguiente sección.
| Lo que muestra la cabecera | Causa más probable |
|---|---|
spf=pass y dkim=pass, pero dominios diferentes | Tu servicio de correo no está firmando con tu dominio |
dkim=none y el dominio SPF es el servidor de tu host | WordPress está enviando a través de PHP mail |
header.from es una dirección de Gmail o Yahoo | Tu formulario usa el correo del visitante como From |
spf=fail o spf=softfail para un solo servicio | Otro servicio no está en SPF |
spf=permerror | Tu registro SPF está roto |
| Pasó para ti, falló para un destinatario | El correo fue reenviado |
Soluciona tus correos de WordPress ahora
Causas comunes de fallo de DMARC (y la solución para cada una)
La mayoría de los fallos de DMARC en sitios de WordPress provienen de 7 causas. Las 2 primeras son específicas de WordPress, así que empezaré por ahí.
WordPress envía a través de PHP Mail
Por defecto, WordPress envía correos con la función mail() de PHP en tu servidor web. Ese servidor normalmente no tiene una clave DKIM para tu dominio.
La ruta de retorno suele ser el nombre del servidor de tu host, como [email protected]. Así que SPF puede pasar para el host pero nunca se alinea con tu dominio.
Solución: Envía a través de un servicio de correo dedicado con WP Mail SMTP. Lo cubro en la sección de soluciones más abajo.
Tu formulario usa el correo del visitante como dirección From
Algunos plugins de formularios te permiten establecer el Correo From a un campo del formulario. Por ejemplo, en WPForms, puedes establecer la dirección de Correo From. Si la estableces a la dirección de correo del visitante, haces que tu servidor envíe correos pretendiendo ser de [email protected].
Yahoo y AOL publican p=reject. Comprobé cuando escribí esta publicación; ambos todavía lo hacían.
Así que Yahoo y AOL rechazan esas notificaciones antes de que te lleguen.
_dmarc.yahoo.com "v=DMARC1; p=reject; pct=100; ..."
_dmarc.aol.com "v=DMARC1; p=reject; pct=100; ..."
Solución: Establece la dirección de correo electrónico del remitente en una dirección de tu propio dominio. En su lugar, pon el correo electrónico del visitante en el campo Responder a.
Aún puedes responder con un solo clic.
Tu servicio de correo no está firmando con tu dominio
Has conectado un servicio de correo, pero no has verificado tu dominio dentro de él. Por lo tanto, el servicio firma DKIM con su propio dominio, como sendlayer.net. También utiliza su propia ruta de retorno.
Ambas comprobaciones se superan, pero ninguna se alinea. Este es el patrón de encabezado del ejemplo anterior de Authentication-Results.
Solución: Finaliza la autenticación del dominio en el panel de tu servicio de correo. Te proporciona registros DKIM (generalmente CNAMEs) para añadir a tu DNS.
Una vez que verifiquen, la etiqueta d= se convierte en tu dominio.
Otro servicio envía correos y no está en SPF
Tu sitio probablemente no es lo único que envía en nombre de tu dominio. Otras herramientas también podrían enviar:
- Google Workspace
- Una herramienta de boletines
- Un centro de ayuda
- Una plataforma de tienda
Supongamos que uno no está en tu registro SPF y no firma DKIM como tu dominio. Entonces su correo falla DMARC.
Solución: Enumera cada servicio que envía en nombre de tu dominio. Luego, añade el include SPF de cada uno y configura su DKIM.
Tus informes agregados de DMARC muestran cada fuente, lo que facilita la creación de esta lista. Para saber cómo añadir más de un registro SPF, consulta nuestra guía sobre añadir varios registros SPF.
Tu registro SPF está roto o excede el límite de búsquedas
Un registro SPF roto falla para todos los remitentes a la vez. Los 2 problemas más comunes son los registros SPF duplicados y exceder las 10 búsquedas de DNS.
Aquí tienes una configuración rota con 2 registros:
example.com TXT "v=spf1 include:_spf.google.com ~all"
example.com TXT "v=spf1 include:spf.mailservice.net ~all"
Y aquí está la versión corregida, fusionada en 1 registro:
example.com TXT "v=spf1 include:_spf.google.com include:spf.mailservice.net ~all"
Solución: Fusiona los registros en uno solo y elimina los includes de servicios que ya no utilizas.
Cómo solucionar el fallo de DMARC en WordPress con WP Mail SMTP
Para corregir un fallo de DMARC en WordPress, utiliza un servicio de correo que firme con tu dominio. Luego, fuerza una dirección de correo electrónico del remitente en ese dominio y añade los registros DNS del servicio de correo.
WP Mail SMTP se encarga de la configuración del servicio de correo y de la dirección del remitente. Aquí están los pasos.
Paso 1: Conectar un remitente que firme con tu dominio
Ve a WP Mail SMTP » Ajustes y haz clic en Iniciar asistente de configuración. Luego, elige un servicio de correo, como SendLayer, Brevo, Mailgun o Amazon SES.
El asistente te guía a través de la conexión de la cuenta.
La guía de configuración de cada servicio de correo también cubre la verificación de tu dominio. Esa es la parte que corrige la alineación DKIM.
| Enviadores disponibles en todas las versiones | Enviadores en WP Mail SMTP Pro |
|---|---|
| SendLayer | Amazon SES |
| SMTP.com | Microsoft 365 / Outlook.com |
| Brevo | Zoho Mail |
| Google Workspace / Gmail | |
| Mailjet | |
| Mailgun | |
| Postmark | |
| SendGrid | |
| SMTP2GO | |
| SparkPost | |
| Elastic Email | |
| Otro SMTP |
Paso 2: Establecer y forzar el correo De
Una vez que hayas configurado tu servicio de correo, ve a WP Mail SMTP » Ajustes » General. En el campo Correo electrónico del remitente, introduce una dirección del dominio que autenticaste.
A continuación, marca la casilla Forzar desde el correo electrónico. Esto hace que todos los complementos utilicen esa dirección, incluidos los complementos de formularios configurados con el correo electrónico del visitante.
Así es como se ven los ajustes en mi sitio de prueba:
From Email: [email protected]
Force From Email: On
From Name: Example Store
Force From Name: Off
Paso 3: Añade los Registros SPF y DKIM del Remitente
Ahora añade los registros DNS que te proporcionó tu remitente. La mayoría te da CNAMEs de DKIM y un include de SPF.
Así es como puede verse un conjunto completo:
example.com TXT "v=spf1 /include:spf.mailservice.net ~all"
s1._domainkey.example.com CNAME s1.domainkey.mailservice.net
_dmarc.example.com TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Los nombres de host de tu remitente serán diferentes, así que cópialos desde su panel.
Los cambios en el DNS pueden tardar desde unos minutos hasta unas horas en aparecer.
Paso 4: Probar la solución con Email Detective
Una vez que tus registros estén activos, envía una nueva prueba. Recomiendo comprobar dos veces: una con la Prueba de correo electrónico y luego con el Detective de correo electrónico. Afortunadamente, WP Mail SMTP incluye ambas opciones de prueba.
Para enviar un correo electrónico de prueba, ve a WP Mail SMTP » Herramientas » Prueba de correo electrónico y envía un correo electrónico de prueba. Si detecta un problema de SPF, DKIM o DMARC, verás los Resultados de la comprobación del dominio con la solución.
A continuación, haz clic en la pestaña Detective de correo electrónico en la misma página. Es un verificador de entregabilidad gratuito de SendLayer, integrado en WP Mail SMTP.
Introduce tu dirección de correo electrónico y haz clic en Ejecutar una prueba de entregabilidad. Tu sitio envía una prueba a través de tu conexión principal, y el Detective de correo electrónico te envía por correo electrónico un enlace al informe.
Abre el informe y mira la sección Autenticación. SPF, DKIM y DMARC deberían pasar todos.
Si uno falla todavía, la lista Qué arreglar indica el problema. Aquí tienes un ejemplo de informe donde falta DKIM:
Haz coincidir ese problema con la tabla de causas en Cómo Encontrar la Causa en las Cabeceras de tu Correo Electrónico, luego soluciona y vuelve a probar. Para la lista de verificación completa de pruebas, consulta nuestra guía sobre Cómo Probar la Entregabilidad del Correo Electrónico.
Solución de problemas de fallos de DMARC después de la configuración
¿Sigues fallando después de los 4 pasos? Aquí están los 3 síntomas que comprobaría primero.
DKIM Sigue Mostrando el Dominio del Remitente
Tu dominio aún no está verificado en el remitente. Comprueba la página de dominio en el panel de tu remitente y confirma que todos los registros DKIM aparecen como verificados.
Si acabas de añadir los registros, dale unas horas al DNS. Luego envía una nueva prueba.
SPF muestra Permerror
Probablemente tienes 2 registros SPF, o has superado 10 búsquedas de DNS. Fusiona tus registros en uno solo, como se muestra en la causa de SPF roto anterior.
DMARC pasa en las pruebas pero falla para un destinatario
Eso apunta a un reenvío o a una pasarela en el lado del destinatario. Pide al administrador de ese destinatario la cabecera Authentication-Results de la copia devuelta.
Cómo hacer que tus correos electrónicos pasen DMARC
La mayoría de los fallos de DMARC ocurren cuando alguien añade un nuevo servicio de envío. Algunos hábitos que puedes adoptar para detectarlos a tiempo:
- Mantén los informes
ruaactivados: Los informes agregados listan cada servidor que envía en nombre de tu dominio. Eso incluye los que olvidaste. - Comprueba las nuevas herramientas antes de que envíen: Configura SPF y DKIM para un nuevo servicio antes de activarlo.
- Activa los registros de correo electrónico: WP Mail SMTP Pro registra cada correo electrónico que envía tu sitio. Detectarás fallos rápidamente.
- Pasa a la aplicación gradualmente: Mantente en
p=nonehasta que los informes estén limpios. Luego pasa aquarantine.
Ten en cuenta que WP Mail SMTP solo controla el correo electrónico que envía tu sitio de WordPress. El correo de Google Workspace o tu herramienta de boletines aún necesita su propia configuración.
Preguntas frecuentes
Aquí tienes respuestas a las preguntas que veo con más frecuencia sobre fallos de DMARC.
¿Puede fallar DMARC incluso si SPF y DKIM son correctos?
Sí. DMARC necesita que SPF o DKIM pasen para el mismo dominio que tu dirección De (From).
Si tu remitente firma con su propio dominio, ambas comprobaciones pasan pero DMARC sigue fallando. Verificar tu dominio en el remitente soluciona esto.
¿Pueden los correos electrónicos reenviados causar un fallo de DMARC?
Sí. El reenvío rompe SPF porque el servidor de reenvío no está en tu registro SPF.
DKIM alineado generalmente sobrevive al reenvío. Por lo tanto, un correo electrónico reenviado aún puede pasar DMARC.
¿Por qué mis correos electrónicos del formulario de contacto de WordPress están fallando DMARC?
Tu formulario probablemente está enviando correos "desde" la dirección de correo electrónico del visitante. Dominios como yahoo.com rechazan eso porque no han autorizado tu servidor.
Establece el Correo De (From Email) en tu propio dominio y pon al visitante en Responder A (Reply-To). Luego activa Forzar Correo De (Force From Email) en WP Mail SMTP.
¿Cuánto tiempo tarda en funcionar una solución DMARC?
La solución se aplica una vez que los cambios en tu DNS se hagan efectivos, lo que a menudo ocurre en una hora. Algunos proveedores de DNS tardan hasta 48 horas.
Envía una nueva prueba después del cambio, porque los correos antiguos conservan sus resultados originales.
¿Un fallo de DMARC significa que mi dominio fue suplantado?
No siempre. La mayoría de los fallos de DMARC provienen de tus propios servicios que no has configurado completamente.
Pero las fuentes desconocidas en tus informes pueden significar que alguien te está suplantando. Pasar a p=reject los detiene.
A continuación, aplica la política DMARC a modo de aplicación
Una vez que tus correos pasen DMARC, el siguiente paso es activar la protección. Mi guía para solucionar la advertencia "La política DMARC no está habilitada" cubre eso.
Te muestra cómo pasar de p=none a reject de forma segura. Ese es el paso que indica a los proveedores de bandeja de entrada que rechacen el correo suplantado de tu dominio.
Soluciona tus correos de WordPress ahora
¿Listo para arreglar tus correos electrónicos? Empieza hoy mismo con el mejor plugin SMTP de WordPress. Si no tienes tiempo para arreglar tus correos electrónicos, puedes obtener asistencia completa de configuración White Glove como compra adicional, y hay una garantía de devolución de dinero de 14 días para todos los planes de pago.
Si este artículo te ha sido útil, síguenos en Facebook y Twitter para obtener más consejos y tutoriales de WordPress.
