¿Cómo configurar un relay SMTP seguro en Costa Rica (SPF, DKIM y DMARC)?

Si tu empresa de San José, Heredia o Cartago envía facturas, avisos o boletines desde su propio dominio, la diferencia entre llegar a la bandeja de entrada o a spam está en la autenticación. Aquí tienes los registros que debes publicar y los errores que más se repiten.

Respuesta corta

1Un relay SMTP seguro depende de tres registros DNS en tu dominio: SPF (qué servidores pueden enviar), DKIM (firma criptográfica de cada mensaje) y DMARC (qué hacer si fallan).
2Además, la IP que envía necesita un registro PTR válido, con un nombre de host que resuelva de vuelta a esa misma IP.
3Los mensajes deben enviarse por una conexión TLS, y los correos de marketing deben incluir baja con un clic.
4Con Mailu autoalojado en tu dominio, el servidor de origen puede usar un relay externo mediante los parámetros RELAYHOST, RELAYUSER y RELAYPASSWORD.
5Nuestros servidores están en Frankfurt (UE); no hay IP costarricense, y eso no cambia la entrega de correo si la autenticación está bien hecha.

Los cuatro registros que importan

Registro	Qué hace	Consejo
SPF	Registro TXT que lista las IP o servicios autorizados a enviar por tu dominio	Un solo registro SPF por dominio; incluye todos tus remitentes
DKIM	Firma de cada mensaje; la clave pública se publica en DNS	Google pide claves de 1024 bits o más y recomienda 2048
DMARC	Política (none, quarantine, reject) y dirección para recibir reportes	Empieza en none, lee los reportes y endurece después
PTR	DNS inverso de la IP de envío, con A/AAAA que apunte a la misma IP	Se configura donde se asigna la IP, no en el DNS de tu dominio

Relay y servidor de correo: cómo encajan

Mailu es un servidor de correo que se instala en tu propio dominio. Su documentación oficial describe RELAYHOST como una dirección opcional que se usa como smarthost para todo el correo saliente, con el formato [HOST]:PORT, y RELAYUSER y RELAYPASSWORD para cuando el relay exige autenticación. Así puedes dejar los buzones en tu servidor y sacar el correo transaccional por un relay separado. Una tienda en línea de Escazú, por ejemplo, puede mantener los buzones del equipo en Mailu y enviar las confirmaciones de pedido por un relay con su propia reputación.

Separar flujos es una decisión de reputación: si el boletín de marketing recibe quejas, no debería arrastrar a las facturas. Usa subdominios o remitentes distintos y revisa que cada uno tenga su SPF y su firma DKIM.

Qué exige Google a quien envía mucho correo

La ayuda para administradores de Google indica que quien envía más de 5.000 mensajes diarios a cuentas personales de Gmail debe configurar SPF, DKIM y DMARC con alineación de dominio. Las claves DKIM deben ser de 1024 bits o más, con 2048 recomendado. Los correos de marketing y suscripción deben incluir los encabezados List-Unsubscribe y List-Unsubscribe-Post para baja con un clic. La tasa de spam en Postmaster Tools debe mantenerse por debajo de 0,30 % (Google recomienda por debajo de 0,10 %). La IP de envío necesita un PTR válido con su A o AAAA correspondiente, y todo el envío hacia Gmail debe usar TLS. Verifica siempre la versión vigente de esos requisitos antes de aplicarlos.

Ubicación del servidor

Nuestro datacenter está en la Unión Europea, en Frankfurt, no en Costa Rica, así que la IP de envío no será costarricense. Los receptores evalúan autenticación y reputación, no la geografía, pero conviene que el PTR y el nombre de host de tu servidor de correo coincidan con tu dominio.

Errores comunes

Publicar dos registros SPF distintos para el mismo dominio: el receptor los trata como error.
Activar DMARC en modo reject sin haber revisado antes los reportes y descubrir que tu facturador o CRM enviaba sin firma.
Enviar correo transaccional y masivo desde la misma IP y el mismo dominio, de modo que una queja de marketing arrastra a las facturas.
Olvidar la baja con un clic en los correos de marketing cuando superas el volumen que Google considera envío masivo.

Cómo te ayuda 4hosting

Instalamos Mailu autoalojado en el dominio de tu empresa y configuramos un relay separado para el correo transaccional, junto con SPF, DKIM y DMARC. También migramos desde cPanel o Google Workspace. Nuestros VPS incluyen entre 1 y 8 horas mensuales de servicios DevOps, ciberseguridad o programación según el plan, y esas horas pueden cubrir este trabajo. Se piden desde el panel de cliente, no se acumulan de un mes a otro y lo que exceda la cuota se factura aparte. La migración es gratuita, la facturación es en EUR y no certificamos el cumplimiento de tu empresa: te damos la infraestructura y el trabajo técnico.

Preguntas frecuentes

¿Necesito una IP en Costa Rica para que mi correo llegue?

No. Los proveedores de buzón evalúan la autenticación (SPF, DKIM, DMARC), el PTR y la reputación de la IP y del dominio, no el país del servidor. Nuestros servidores están en Frankfurt.

¿Ofrecen un servicio de relay SMTP administrado?

No como producto aparte. Mailu se instala autoalojado en el dominio del cliente, y las horas DevOps incluidas en el plan pueden usarse para configurar el relay, SPF, DKIM y DMARC.

¿Desde qué volumen aplican los requisitos de Google?

Google aplica requisitos reforzados a quien envía más de 5.000 mensajes diarios a cuentas personales de Gmail. Aun por debajo de esa cifra, SPF y DKIM son recomendables.

Ver también

Cuéntanos tu dominio y tu volumen de envío y te ayudamos a planificar el relay.