Antes de mandar el primer correo en frío se configura, en este orden: SPF y DKIM en el DNS del dominio secundario, una espera de 48 horas a que propaguen, DMARC en p=none (nunca en reject de entrada), verificación del dominio en Google Postmaster Tools o Microsoft SNDS, y solo entonces el calentamiento con contactos reales. Invertir ese orden puede rechazar tus propios correos desde el día uno, antes de que el destinatario siquiera los vea.
La entregabilidad de correo en frío es la probabilidad de que un mensaje llegue a la bandeja principal del destinatario y no a spam ni a promociones. Se decide casi por completo antes de escribir la primera línea: en los registros DNS que autentican el dominio y en el historial que ese dominio construye durante el calentamiento. El copy importa después, cuando el mensaje ya llegó.
Esta pieza cubre la capa de autenticación y monitoreo. El mapa completo (cuántos dominios, cuántos buzones, qué herramienta de envío) está en infraestructura de outbound: el stack completo.
¿En qué orden se configura la entregabilidad antes del primer correo?
DNS primero, calentamiento después, campaña real al final. El error más caro es invertir los pasos. Calentar un dominio cuyo DKIM todavía no propaga construye historial sobre una base que Gmail y Outlook no pueden verificar, y activar la política DMARC más estricta antes de que SPF y DKIM alineen en todos los proveedores convierte tu propio registro en el filtro que te rechaza.
| Paso | Qué se configura | Capa | Qué pasa si lo saltas |
|---|---|---|---|
| 1 | SPF en el DNS del dominio secundario | DNS | Los proveedores no pueden confirmar qué servidores están autorizados a enviar por ese dominio |
| 2 | DKIM con el par de llaves de tu herramienta de envío | DNS | Nadie puede verificar que el mensaje no se alteró en tránsito |
| 3 | DMARC en p=none con rua para reportes | DNS | SPF y DKIM quedan sin una política que diga qué hacer cuando uno falla |
| 4 | Verificación del dominio y registro en Postmaster Tools o SNDS | Monitoreo | No hay línea base de reputación antes de la primera campaña |
| 5 | Calentamiento con contactos reales, antes del volumen objetivo | Operación | El dominio se quema en la primera campaña real por falta de historial |
El umbral que activa las reglas de remitente masivo de Google es aproximadamente 5,000 mensajes o más a cuentas personales de Gmail en 24 horas (requisitos de Google para remitentes de correo, Google Workspace Admin Help, consultado 2026-09-16), vigente desde febrero de 2024. Si tu volumen diario por dominio no llega ahí, la autenticación sigue siendo la base de la entregabilidad, pero las reglas específicas de remitente masivo (como el one-click unsubscribe) no te son exigibles todavía.
Configurar y operar son dos verbos distintos, y confundirlos es el segundo error más común. Configurar el DNS pasa una vez, dura mientras no cambies de proveedor de envío y se hace en un día. Operar el calentamiento pasa cada semana durante 3-4 semanas, revisando señales de rebote y de spam antes de subir volumen. Esa parte, semana a semana, está en cómo calentar un dominio nuevo sin quemarlo en la semana dos y no se repite aquí.
¿Cómo se configuran SPF, DKIM y DMARC sin bloquear tus propios correos?
El orden que pide la propia documentación de Google es SPF y DKIM el mismo día, una espera de 48 horas y DMARC después, arrancando en p=none: "Para configurar DMARC, espera 48 horas después de la configuración de SPF o DKIM" (guía de Google para configurar DMARC, actualizada 2026-07-22, consultada 2026-09-16). p=none le dice a los proveedores de bandeja que solo reporten qué pasaría si aplicaran la política, sin rechazar ni poner en cuarentena nada: es la fase de observar antes de exigir.
; SPF -- registro TXT en la raíz del dominio secundario
correo-secundario.mx. TXT "v=spf1 include:_spf.google.com ~all"
; DKIM -- registro TXT generado por tu herramienta de envío (o Google Workspace)
google._domainkey.correo-secundario.mx. TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."
; DMARC -- se publica DESPUÉS de confirmar que SPF y DKIM propagaron (48 horas)
; sustituye TU-DOMINIO por el buzón real donde vas a leer los reportes
_dmarc.correo-secundario.mx. TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@TU-DOMINIO"
Las 48 horas hacen falta porque la propagación de un registro DNS no es instantánea ni pareja. Cada resolutor cachea el registro anterior según el TTL configurado, y DMARC evalúa la alineación contra SPF y DKIM en el momento exacto en que llega cada correo.
Si activas p=reject antes de que todos los resolutores vean el DKIM nuevo, algunos servidores ven un dominio sin DKIM válido y aplican la política más estricta que acabas de publicar: la tuya, contra tus propios correos. La progresión que documenta Google es p=none → subir pct de forma gradual → quarantine → reject, y cada salto se decide leyendo los reportes agregados que llegan al rua declarado, no por calendario.
Este ejemplo, con los supuestos declarados, dimensiona el costo de romper el orden. Un equipo publica SPF y DKIM en 6 dominios secundarios y activa DMARC en p=reject el mismo día, sin esperar la propagación. En 2 de los 6 dominios el DKIM no había terminado de propagar, así que los ~2,000 correos programados esa semana desde esos 2 dominios se rechazan. Diagnosticar, revertir DMARC a p=none, esperar la propagación y volver a subir la política toma una semana de trabajo a medio tiempo: 20 horas. A $250 MXN la hora cargada (operación propia, verificado 2026-08-17), son $5,000 MXN (20 × $250) más una semana de calentamiento perdida en esos 2 dominios, que hay que reiniciar.
Los propios reportes agregados de DMARC miden que SPF y DKIM están alineados; cada proveedor de bandeja (Gmail, Outlook, Yahoo) los manda al buzón que pusiste en rua. Sin ese registro no ves nada; con él, cada dominio te dice qué porcentaje de su tráfico pasa la alineación antes de que subas la política.
¿El one-click unsubscribe aplica a la prospección en frío o solo al marketing masivo?
La regla de Google es específica: "La opción de darse de baja con un clic solo es necesaria en el caso de los mensajes promocionales y de marketing", exigible a partir de 5,000 correos diarios a cuentas personales de Gmail, con un periodo de gracia hasta el 1 de junio de 2024 para quien ya tenía un enlace de baja (Google Workspace Admin Help, consultado 2026-09-16). No está dirigida a un correo de prospección personalizado de bajo volumen.
Si mandas 5,000 correos al día o más a cuentas de Gmail y son promocionales, el one-click unsubscribe es obligatorio desde febrero de 2024. Si mandas menos, o es prospección uno a uno, no es exigible, pero sigue reduciendo el riesgo de que te reporten como spam.
El mecanismo técnico son dos headers, List-Unsubscribe y List-Unsubscribe-Post, que la norma obliga a incluir en la firma DKIM del mensaje para que el proveedor los reconozca como legítimos (RFC 8058, IETF, consultado 2026-09-16). Cualquier herramienta de envío seria los agrega al activar la opción; lo que no agrega sola es el DKIM que los respalda, que es el paso 2 de este checklist.
Implementarlo aunque no te obligue conviene por aritmética simple. Gmail pide mantener la tasa de quejas de spam de Postmaster Tools por debajo de 0.30%, e idealmente por debajo de 0.10% (directrices de Gmail para remitentes, Gmail Help, consultado 2026-09-16). Con volumen bajo, una sola queja pesa muchísimo: en un lote de 300 correos, un reporte ya es 0.33% (1 ÷ 300), arriba del umbral.
Google fija estas reglas para su propio filtro y no es un árbitro neutral entre remitentes, pero es la única fuente primaria sobre cómo Gmail clasifica lo que le llega, así que es la que hay que leer, sabiendo de quién es.
¿Qué registras en Google Postmaster Tools o Microsoft SNDS antes del primer envío?
Registras el dominio antes del primer correo, no después de que algo salga mal, porque necesitas una línea base: sin datos de las semanas limpias no puedes distinguir una caída real de una fluctuación normal cuando revises Postmaster Tools tres semanas después. Google Postmaster Tools mide reputación de dominio e IP, tasa de spam reportada y estado de autenticación; Microsoft SNDS reporta por IP en vez de por dominio y su cobertura con cuentas corporativas es más limitada. El límite exacto está en cómo saber si tus correos llegan o solo se envían.
Verificar el dominio es un registro TXT adicional, distinto de SPF, DKIM y DMARC, que confirma ante la herramienta de monitoreo que el dominio es tuyo. Se publica en el mismo lote de cambios de DNS que los otros tres: es una entrada más en la misma sesión de trabajo.
Cuál de los dos paneles usar depende de dónde envías: Google Workspace usa Postmaster Tools, Microsoft 365 usa SNDS, y si envías desde ambos (común cuando el dominio de marca está en uno y el secundario en otro) registras cada dominio en el panel de su proveedor. La comparación completa está en Google Workspace o Microsoft 365 para enviar outbound.
¿Cuándo entra el calentamiento y cuándo la verificación de la lista?
Con el DNS confirmado, el calentamiento arranca primero, con un lote de contactos reales, y no espera a que termines de verificar la lista de prospección. La lista se verifica en paralelo, pero no recibe ningún correo hasta que el dominio tenga historial: verificar confirma que una dirección existe hoy, y eso no le dice nada al proveedor de bandeja sobre si tú, como remitente, mandas cosas que la gente abre y no reporta. Un dominio nuevo se quema igual aunque la lista esté impecable, porque lo que evalúan Gmail y Outlook es el comportamiento del remitente, no la calidad del destinatario.
Como referencia de escala real, la operación de Improvitz corre con 31 buzones activos en 6 dominios (verificado por API el 2026-08-07). Ese número sale de dividir el volumen objetivo entre lo que cada dominio calentado sostiene. Sirve para calibrar qué tan grande es una infraestructura de outbound que ya funciona en México, contra la tentación de arrancar con uno o dos dominios para todo el volumen.
¿Cuándo no necesitas todo este checklist?
Hay dos casos donde saltarse pasos no es negligencia:
- Dominio de marca con historial largo. Si el dominio corporativo ya tiene SPF, DKIM y DMARC en
quarantineoreject, con años de correo transaccional detrás, no lo tocas para meterlo a una campaña de prospección: le cargarías el riesgo de la campaña al dominio que el resto de la empresa usa para facturas y notificaciones. Se abre un dominio secundario nuevo y el checklist completo aplica solo a ese, como explica por qué se usan dominios secundarios y qué riesgo traen. - Envío puntual de bajísimo volumen. Menos de ~50 correos, una sola vez, a contactos que ya conoces: un evento, un seguimiento a gente que te dio su correo en una llamada. La autenticación sigue siendo buena práctica, pero el calentamiento de tres semanas no aplica porque no hay volumen que sostener.
Fuera de esos dos casos, saltarse el checklist tiene una consecuencia que no se revierte con mejor copy la semana siguiente: el dominio queda con una reputación baja que Gmail y Outlook tardan semanas en volver a evaluar, sin importar qué tan bueno sea el mensaje que mandes después.
¿Qué haces el mismo día que publicas los registros?
Comprueba desde afuera que los tres registros ya son visibles, en vez de dar por hecho que propagaron:
dig TXT correo-secundario.mx +short
dig TXT google._domainkey.correo-secundario.mx +short
dig TXT _dmarc.correo-secundario.mx +short
Si alguno regresa vacío, todavía no propagó: espera antes de seguir al siguiente paso. Cuando los tres responden y pasaron las 48 horas, arranca el calentamiento. Y una vez que estés enviando campañas reales, el problema cambia de forma: pasa a ser saber si tus correos llegan o solo se están enviando.
Esta configuración es la base técnica de la M del método IMPRO (Investiga, Mensajes que llegan, Personalizados, Respuestas, Oportunidades): un mensaje personalizado que cae en spam no genera ninguna respuesta, por bien investigado que esté el prospecto.
Si prefieres que alguien más monte y opere esta infraestructura, Improvitz, consultoría de prospección B2B con IA en México, mantiene este tipo de stack para equipos que no quieren tocar DNS cada vez que arranca una campaña. La sesión de diagnóstico es el siguiente paso.
