Configurar SPF y DKIM en DirectAdmin: tutorial anti-spam

¿Por qué tu correo acaba en spam (y cómo solucionarlo de una vez)?

Si has notado que tus emails llegan a la carpeta de spam de tus clientes, o peor, son rechazados por el servidor receptor, el problema casi siempre es el mismo: falta de autenticación.
Los servidores de correo modernos (Gmail, Outlook, Yahoo) son desconfiados por naturaleza. Antes de entregar un mensaje, verifican que realmente venga de quien dice venir. Si no pueden confirmarlo, tienen dos opciones: marcarlo como spam o devolverlo.

La solución está en dos registros DNS que funcionan como tu "DNI digital": SPF y DKIM.
En este artículo te voy a enseñar, paso a paso y sin tecnicismos, cómo configurarlos en DirectAdmin. Al final, tus correos tendrán muchísimas más probabilidades de llegar a la bandeja de entrada.

¿Qué es SPF y por qué lo necesitas?

SPF (Sender Policy Framework) es un registro DNS que le dice a los servidores receptores: "Estos son los únicos servidores autorizados para enviar correos en nombre de mi dominio".

¿Cómo funciona en la práctica?

Imagina que tu dominio es tudominio.com y tienes un registro SPF que indica que solo el servidor mail.tudominio.com puede enviar correos.
Si un atacante intenta enviar un email falso usando tu dominio desde otro servidor, el receptor lo verá y pensará: "Este servidor no está en la lista permitida, es un fraude". El correo será rechazado o marcado como spam.

¿Qué pasa si no tienes SPF?

Sin SPF, los servidores receptores no tienen forma de saber si tu correo es legítimo. En la mayoría de los casos, lo tratan con sospecha.
La tasa de entrega cae drásticamente.

¿Qué es DKIM y en qué se diferencia?

DKIM (DomainKeys Identified Mail) es como un sello de autenticidad digital.
Funciona con criptografía de clave pública y privada:

Tu servidor de correo firma cada mensaje con una clave privada.
El servidor receptor descarga tu clave pública desde un registro DNS.
Si la firma coincide, confirma que el mensaje no fue alterado y que realmente proviene de tu dominio.

¿Por qué necesitas ambos?

SPF verifica quién envía el correo, pero no garantiza que el contenido no haya sido manipulado.
DKIM verifica que el mensaje es auténtico y no fue modificado en el camino.
Usarlos juntos es la mejor práctica y lo que los grandes proveedores esperan ver.

Configurar SPF en DirectAdmin: Guía paso a paso

La buena noticia es que DirectAdmin suele crear un registro SPF básico automáticamente al configurar tu dominio. Pero vamos a verificar que esté bien y, si no, a corregirlo.

Paso 1: Accede a tu panel de DirectAdmin

Entra con tus credenciales de administrador o de usuario de dominio.
Normalmente accedes desde http://tu-servidor:2222 o la URL que te haya dado tu proveedor.

Paso 2: Ve al administrador de DNS

Busca en el menú principal la sección llamada "DNS Management" o "Administración de DNS".
Haz clic en tu dominio principal. Verás una lista de registros DNS existentes.

Paso 3: Busca el registro SPF actual

Deberías ver un registro TXT que empiece con v=spf1.
Si lo ves, verifica que contenga algo similar a esto:

v=spf1 +a +mx +ip4:TU_IP_DE_SERVIDOR ~all

Paso 4: Corrige o crea el registro SPF

Si no existe o está incompleto, deberás crearlo o editarlo:

Haz clic en "Add New Record" o "Agregar nuevo registro".
Selecciona tipo TXT.
En el campo "Name" o "Host", pon @ o deja el campo vacío (dependiendo de la interfaz, significa "el dominio en sí").
En el campo "Value" o "Content", pega esta línea:

v=spf1 +a +mx +ip4:TU_IP_DE_SERVIDOR ~all

IMPORTANTE: Reemplaza TU_IP_DE_SERVIDOR con la IP real de tu servidor de correo.
Puedes encontrarla en tu panel de DirectAdmin, en la sección de "IP Manager" o en el correo de bienvenida de tu proveedor.

Paso 5: Guarda los cambios

Haz clic en "Save" o "Guardar".
Los cambios DNS pueden tardar entre 5 minutos y 48 horas en propagarse, aunque lo normal es que sea en menos de una hora.

[TIP]
Si usas servicios externos de envío de correo (como Gmail para tu dominio, SendGrid, o Mailchimp), necesitas añadir sus IPs o dominios a tu registro SPF.
Por ejemplo: v=spf1 +a +mx include:_spf.google.com ~all para Gmail.

Configurar DKIM en DirectAdmin: Paso a paso

Aquí es donde DirectAdmin brilla, porque el proceso es bastante automático. Aun así, te lo explico todo para que entiendas qué está pasando.

Paso 1: Ve a la sección de Email

En el menú principal, busca "Email Manager" o "Administrador de Email".
Dentro, busca la opción "DKIM" o "DomainKeys".

Paso 2: Activa DKIM para tu dominio

Si no está activado, verás un botón para "Activate DKIM" o "Enable DKIM".
Haz clic en él.

Paso 3: DirectAdmin genera las claves automáticamente

El sistema creará dos claves:

Una clave privada que se guarda en el servidor de correo.
Una clave pública que se publicará en tu DNS.

Paso 4: Publica la clave pública en tu DNS

DirectAdmin normalmente hace esto automáticamente. Pero si no lo hizo (o si tu DNS está gestionado externamente), tendrás que hacerlo manualmente:

Ve a "DNS Management".
Busca un registro TXT que empiece con v=DKIM1; o similar.
Si no existe, crea uno nuevo:
- Name: default._domainkey (o el selector que te indique DirectAdmin).
- Type: TXT.
- Value: Pega la clave pública que te muestra DirectAdmin en la sección DKIM.

Paso 5: Verifica que la firma funciona

Después de unos minutos, puedes enviar un correo de prueba.
Para verificar que DKIM está funcionando, envía un email a una dirección de Gmail y revisa la cabecera del mensaje (opción "Mostrar original"). Deberías ver algo como dkim=pass.

[WARNING]
Si tu DNS está gestionado en otro sitio (por ejemplo, Cloudflare o tu registrador), DirectAdmin no puede publicar el registro DKIM automáticamente.
Deberás copiar la clave pública desde DirectAdmin y crear el registro TXT manualmente en tu proveedor de DNS.

Errores comunes y cómo solucionarlos

1. El registro SPF está mal formado

Un error típico es poner -all en lugar de ~all.
La diferencia es sutil pero importante:

~all significa "soft fail": el correo se marca como sospechoso pero se entrega.
-all significa "hard fail": el correo se rechaza directamente.

Para evitar problemas, usa ~all a menos que estés 100% seguro de que solo envías desde tu servidor.

2. Tienes múltiples registros SPF

Esto es un error grave. Solo puede haber un registro SPF por dominio.
Si tienes varios, los servidores receptores pueden ignorarlos todos.
Solución: combina todos los include en un solo registro.

3. La firma DKIM no pasa

Esto suele pasar cuando el DNS no se ha propagado o cuando el selector es incorrecto.
Verifica que el registro TXT tenga exactamente el nombre default._domainkey y que el valor esté entre comillas dobles si contiene espacios.

¿Cómo verificar que todo funciona?

Después de configurar SPF y DKIM, es hora de comprobar que todo está correcto.

Herramientas gratuitas para verificar

Puedes usar estas herramientas online:

MXToolbox (mxtoolbox.com): Verifica SPF y DKIM de tu dominio.
Mail-Tester (mail-tester.com): Envía un correo de prueba y te da un informe completo.
Google Admin Toolbox (toolbox.googleapps.com): Comprueba registros DNS.

Qué deberías ver

En MXToolbox, busca "SPF Record Check" y "DKIM Check".
Ambos deberían mostrar "PASS" o "Valid".

[INFO]
La propagación del DNS puede tardar. Si acabas de configurar los registros, espera al menos 24 horas antes de preocuparte.
Si después de ese tiempo sigue fallando, revisa que no haya errores de tipeo en los registros.

Preguntas frecuentes (FAQ)

¿Cuánto tarda en propagarse el SPF y DKIM?

Normalmente entre 5 minutos y 48 horas. En la práctica, la mayoría de los cambios se propagan en menos de una hora.

¿Necesito configurar algo más además de SPF y DKIM?

Sí, te recomiendo también configurar DMARC (Domain-based Message Authentication, Reporting & Conformance).
Es un registro que le dice a los servidores receptores qué hacer si SPF y DKIM fallan.
Te lo explico brevemente:

Ve a DNS Management.
Crea un registro TXT con:
- Name: _dmarc
- Value: v=DMARC1; p=none; rua=mailto:tu-email@tudominio.com

Empieza con p=none para monitorear, y luego cambia a p=quarantine o p=reject cuando estés seguro.

¿Qué pasa si mi servidor usa Syspanel en lugar de DirectAdmin?

Si tu hosting usa Syspanel (antes conocido como HestiaCP), el proceso es similar pero la interfaz es diferente.
Accede a Syspanel desde el puerto 2106 (por ejemplo, http://tu-servidor:2106).
Busca la sección de "DNS" o "Mail" y sigue los mismos pasos para añadir los registros SPF y DKIM.

¿Puedo tener SPF con más de un servidor de envío?

Sí, solo tienes que añadir más include o ip4 en el mismo registro.
Ejemplo: v=spf1 +a +mx include:servidor1.com include:servidor2.com ~all

¿Qué hago si Gmail sigue marcando mis correos como spam?

Revisa tres cosas:

Que SPF, DKIM y DMARC estén correctamente configurados.
Que no estés en alguna lista negra (puedes verificar en mxtoolbox.com).
Que el contenido de tus correos no sea demasiado "promocional" (evita palabras como "gratis", "oferta", "haz clic ahora" en exceso).

Resumen final

Configurar SPF y DKIM en DirectAdmin es un proceso sencillo pero crucial para la salud de tu correo electrónico.
Recuerda:

SPF dice quién puede enviar correos por tu dominio.
DKIM firma tus correos para que no puedan ser falsificados.
DMARC (opcional pero recomendado) define qué hacer si fallan los anteriores.

Con estos tres pilares, tus correos tendrán una reputación mucho mejor y llegarán a la bandeja de entrada de tus clientes, no a la carpeta de spam.

Si tienes dudas o problemas, no dudes en contactar con tu proveedor de hosting.
¡Y recuerda, la autenticación de email es tu mejor amiga para evitar el spam!