Configurar DKIM y SPF en Syspanel | Mejorar entrega email

¿Tu correo está cayendo en spam? No te preocupes, no eres el único. Es una de las consultas más habituales que recibimos en soporte. La buena noticia es que, en la mayoría de los casos, la solución pasa por configurar correctamente dos registros DNS: DKIM y SPF.

Piensa en estos registros como el DNI digital de tu dominio. Sin ellos, los servidores de correo de Gmail, Outlook o Yahoo no pueden verificar que el email que envías realmente viene de ti y no de un suplantador. En este artículo, te voy a guiar paso a paso para que configures dkim syspanel y spf syspanel y consigas que tus correos lleguen siempre a la bandeja de entrada.

Vamos a ello.

¿Por qué mi correo va a spam? Entendiendo el problema

Antes de ponernos manos a la obra, es importante que entiendas el porqué. Cuando envías un correo, el servidor receptor (por ejemplo, Gmail) hace una serie de preguntas a tu dominio:

¿Está este servidor autorizado para enviar correos en nombre de este dominio? (Esto lo responde el registro SPF).
¿El correo está firmado digitalmente y la firma es válida? (Esto lo responde el registro DKIM).
¿El dominio tiene una política clara sobre qué hacer si fallan las verificaciones? (Esto lo responde el registro DMARC, que también veremos).

Si las respuestas son "no" o "no está claro", el correo se considera sospechoso y termina en la carpeta de spam. Configurar registros dns email correctamente es la base de una buena reputación de envío.

¿Qué es SPF y qué es DKIM? (Explicado fácil)

SPF (Sender Policy Framework)

Imagina que tu dominio es un edificio de oficinas. El registro SPF es una lista en la puerta principal que dice: "Solo los empleados con estas tarjetas de identificación pueden entrar". Es decir, es una lista de servidores IP autorizados para enviar correos en nombre de tu dominio.

Si un servidor que no está en la lista intenta enviar un correo con tu dirección, el servidor receptor lo rechazará o lo marcará como spam.

DKIM (DomainKeys Identified Mail)

Siguiendo con la analogía, DKIM es como un sello de autenticidad en cada carta que envías. Es una firma digital criptográfica que se añade a la cabecera del correo. Esta firma se genera con una clave privada que solo tu servidor tiene, y se verifica con una clave pública que se publica en tu DNS.

Si la firma no coincide, significa que el correo ha sido alterado o que no viene del servidor original. Es una capa de seguridad extra muy potente.

Configurar SPF en Syspanel (HestiaCP)

El panel de control que utilizas, Syspanel (antes conocido como HestiaCP, y que se accede por el puerto 2106), facilita mucho esta tarea. No necesitas editar archivos de configuración complejos; solo necesitas copiar y pegar. Sigue estos pasos:

Paso 1: Acceder a Syspanel

Abre tu navegador y escribe la dirección de tu servidor seguida del puerto 2106. Por ejemplo: https://tu-servidor.com:2106.

Introduce tu usuario y contraseña de administrador.

Paso 2: Ir a la sección de DNS

Una vez dentro, busca en el menú lateral izquierdo la sección de DNS. Haz clic en ella. Verás una lista con todos los dominios que tienes alojados en ese servidor.

Paso 3: Seleccionar tu dominio

Busca el dominio para el cual quieres configurar el correo y haz clic en su nombre o en el icono de "editar". Esto te llevará a la lista de registros DNS actuales de ese dominio.

Paso 4: Añadir el registro SPF

Ahora viene la parte clave. Casi siempre, Syspanel ya crea un registro SPF por defecto. Búscalo en la lista. Debería tener un tipo de registro TXT y un valor parecido a este:

v=spf1 a mx ip4:TU_IP_PUBLICA -all

Si no existe, o quieres asegurarte de que es correcto, sigue estos pasos:

Busca el botón "Añadir Registro" o "Nuevo Registro" (suele estar en la parte superior derecha).
En el campo "Tipo", selecciona TXT.
En el campo "Nombre" o "Registro", deja el campo vacío o pon @. Esto hace referencia al dominio principal.
En el campo "Valor" o "Contenido", pega esta línea:
v=spf1 a mx ip4:TU_IP_PUBLICA -all

[INFO] Reemplaza TU_IP_PUBLICA con la dirección IP real de tu servidor. Puedes encontrarla en Syspanel en la esquina superior derecha o en la sección de "Configuración del servidor".
Haz clic en "Guardar".

¿Qué significa cada parte?

v=spf1: Indica que es una versión 1 del registro SPF.
a: Autoriza al servidor web (si tiene una IP en el registro A).
mx: Autoriza a los servidores de correo (registros MX).
ip4:TU_IP_PUBLICA: Autoriza explícitamente a tu servidor para enviar correos.
-all: Indica que solo los servidores listados pueden enviar correos. Cualquier otro será rechazado. Esta es la política más estricta y la recomendada.

Configurar DKIM en Syspanel (HestiaCP)

Configurar dkim syspanel es todavía más fácil, porque el panel lo hace casi todo automáticamente. La clave está en activarlo en el dominio y luego publicar la clave pública que te proporciona.

Paso 1: Activar DKIM en el dominio

En la misma sección de DNS, o en Mail, busca tu dominio. En la pestaña de "Mail", deberías ver un botón o casilla para "Activar DKIM" o "Generar DKIM". Haz clic en él.

Paso 2: Copiar la clave pública

Syspanel generará automáticamente un par de claves. Te mostrará un registro DNS que deberás copiar. Se parecerá a esto:

Nombre del registro: default._domainkey
Tipo: TXT
Valor: v=DKIM1; h=sha256; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

Paso 3: Publicar el registro en tu DNS

Ahora tienes dos opciones:

Si tu dominio usa los servidores DNS de Syspanel: El panel ya habrá creado el registro automáticamente. No tienes que hacer nada más.
Si tu dominio usa DNS externos (como Cloudflare, o los de tu registrador): Deberás ir a tu proveedor de DNS y crear un nuevo registro TXT con los datos que te dio Syspanel. Es un proceso de copiar y pegar.

Paso 4: Verificar la propagación

Una vez publicado, la propagación del DNS puede tardar desde unos minutos hasta 48 horas. Para verificar si ya está activo, puedes usar herramientas online gratuitas como dnschecker.org e introducir tu dominio y el tipo de registro. Busca que el valor coincida.

El tercer paso: DMARC (El extra que te hará brillar)

Aunque no es obligatorio, te recomiendo encarecidamente que configures también el registro DMARC. Este registro le dice a los servidores receptores qué hacer si un correo falla las comprobaciones SPF y DKIM.

Para ello, crea otro registro TXT con el siguiente contenido:

Nombre del registro: _dmarc
Tipo: TXT
Valor: v=DMARC1; p=quarantine; rua=mailto:tu@correo.com
p=quarantine: Le dice a los servidores que pongan en spam los correos que fallan (en lugar de rechazarlos directamente).
rua=mailto:tu@correo.com: Recibirás informes sobre la autenticación de tus correos.

Comprobación final: ¿Está todo bien?

Después de configurar dkim syspanel y spf syspanel, es hora de la prueba de fuego. Te recomiendo estos pasos:

Espera unas horas: Dale tiempo al DNS para que se propague.
Envía un correo de prueba: Envía un email desde tu cuenta de correo de tu dominio a una dirección de Gmail y otra de Outlook.
Revisa las cabeceras: En Gmail, abre el correo, haz clic en los tres puntos y selecciona "Mostrar original". Busca las líneas spf=pass y dkim=pass.

Si ves pass en ambas, ¡enhorabuena! Tu configuración es correcta. Si ves fail o neutral, repasa los pasos anteriores.

Solución de problemas comunes (FAQ)

¿Cuánto tarda en hacer efecto? (FAQ)

La propagación del DNS puede tardar entre 1 y 48 horas, aunque normalmente es cuestión de unas pocas horas. Te recomiendo esperar al menos 24 horas antes de hacer la prueba definitiva.

¿Qué pasa si uso Cloudflare? (FAQ)

Si usas Cloudflare, asegúrate de que el registro TXT que creas tenga el proxy desactivado (nube gris). El proxy naranja de Cloudflare solo funciona para registros A, AAAA y CNAME, no para TXT, y puede interferir.

¿Y si mi IP es dinámica? (FAQ)

Si tu IP cambia, tu registro SPF se quedará obsoleto. En ese caso, te recomiendo hablar con tu proveedor de hosting para que te asigne una IP fija o que te indique cómo usar un mecanismo include: en tu registro SPF para tu proveedor de correo específico.

¿Debo usar `-all` o `~all` en mi SPF? (FAQ)

-all es una política estricta (rechazar). ~all es una política blanda (marcar como spam pero aceptar). Para un uso normal, te recomiendo -all para máxima protección contra el spoofing.

Conclusión: Adiós a la carpeta de spam

Configurar SPF y DKIM en Syspanel no es un extra, es una necesidad para cualquier persona que envíe correos desde su propio dominio. No solo mejora la entrega de tus emails, sino que protege la reputación de tu marca y evita que terceros suplanten tu identidad.

Con estos sencillos pasos, has construido una base sólida de autenticación de correo. Ya no tendrás que preocuparte de que tus facturas, newsletters o comunicaciones importantes se pierdan en el olvido de la carpeta de spam.

[TIP] Revisa estos registros cada pocos meses, especialmente si cambias de servidor o de proveedor de correo. Mantener tu DNS limpio y actualizado es una buena práctica de higiene digital.

Espero que esta guía te haya sido de ayuda. Si tienes alguna otra duda o te surge algún problema, no dudes en abrir un ticket de soporte. Estamos aquí para ayudarte.