Un dominio secundario es un dominio registrado aparte del dominio de marca (con su propio registro ante el registrador y sin relación de DNS con él) que se usa para mandar prospección en frío. tuempresa-outbound.com es un dominio secundario de tuempresa.com; ventas.tuempresa.com no lo es: sigue siendo el mismo dominio raíz con un prefijo delante.
Existe porque Gmail y Microsoft miden la reputación por dominio, no por buzón. Trae dos riesgos: parecerse demasiado a tu marca y confundirlo con un subdominio.
¿Qué es un dominio secundario y en qué se diferencia de un subdominio?
Un dominio secundario es un registro DNS completo e independiente: su propio SOA, sus propios registros MX y su propio SPF, DKIM y DMARC. No hereda nada del dominio de marca salvo lo que alguien copie a mano, y por eso su reputación arranca desde cero, separada de la del dominio con el que la empresa factura.
Dominio secundario, subdominio y alias de correo se usan como sinónimos en el lenguaje del cold email, y son tres cosas distintas. Un alias (una dirección ventas@ que aterriza en el mismo buzón que contacto@) es el mismo buzón y la misma autenticación de siempre. Un subdominio comparte el dominio raíz y, con él, la política DMARC que ese raíz publique. Solo el dominio secundario tiene reputación propia.
El consejo que más circula, "agrégale mail o get al nombre de tu empresa", describe casi siempre un subdominio o una variación de marca, no un dominio nuevo con DNS propio. La diferencia decide si aíslas la reputación o solo la mueves de lugar.
| Concepto | Qué es | ¿Reputación propia? | ¿Aísla el outbound? |
|---|---|---|---|
| Dominio de marca | El dominio principal de la empresa | Sí, la suya | No: es lo que se busca proteger |
| Dominio secundario | Dominio nuevo, registrado aparte, sin relación de DNS con el principal | Sí, desde cero | Sí, si está autenticado y calentado |
| Subdominio | Prefijo del dominio principal (ventas.tuempresa.com) | No: hereda la política del dominio raíz (RFC 9989) | No, salvo que se declare una política de subdominio aparte |
| Alias de correo | Dirección alterna sobre el mismo buzón | No: es el mismo buzón | No |
El pilar de este cluster, Infraestructura de outbound: el stack completo, capa por capa, tiene la aritmética de cuántos dominios comprar según tu volumen objetivo. Aquí está la otra mitad: por qué existen y qué riesgo traen. En el método IMPRO (Investiga, Mensajes que llegan, Personalizados, Respuestas, Oportunidades), esto es una condición de la M: para que el mensaje llegue, antes tiene que existir una arquitectura de dominios donde un buzón problemático no contamine a los demás.
¿Por qué la reputación del correo se mide por dominio y no por buzón?
Gmail y Microsoft atribuyen la reputación al dominio que firma el correo (vía SPF y DKIM), no a la cuenta que lo envió. Por eso un solo buzón con mala lista o mal copy arrastra a los otros 30 del mismo dominio, aunque esos 30 nunca hayan recibido una queja propia.
Google exige mantener la tasa de quejas de spam por debajo de 0.30%, medida en Postmaster Tools a nivel de dominio y de dirección IP, y el requisito está vigente desde el 1 de febrero de 2024 para el correo dirigido a cuentas personales de Gmail (Google, Directrices para remitentes de Gmail, consultado el 2026-09-07). Google es el dueño de la bandeja cuya política describe, no un vendor de cold email con infraestructura que venderte: para este dato es la fuente con menos sesgo disponible.
En una campaña de 1,000 correos enviados desde un mismo dominio bastan 3 quejas (3 ÷ 1,000 = 0.30%) para tocar el umbral. La consecuencia cae sobre el dominio, no sobre la campaña.
Improvitz, consultoría de prospección B2B con IA en México, opera hoy con 31 buzones repartidos en 6 dominios (verificado por API el 2026-08-07): entre 5 y 6 buzones por dominio, porque el techo de volumen es del dominio y sumar buzones encima no lo levanta. Un dominio = un cliente: todos los buzones de ese dominio van al mismo dueño operativo. Mezclar proveedores de correo en el mismo dominio está bien; mezclar clientes, no — la reputación es compartida y un mal lote de uno contamina al otro. Si además estás decidiendo con qué proveedor operarlos, los límites publicados de los dos están comparados en Google Workspace o Microsoft 365 para enviar outbound.
Qué se rompe cuando el outbound sale del dominio de marca
El daño no se queda en la campaña. El mismo golpe de reputación cae sobre las facturas automáticas, las notificaciones del sistema y el correo de los ejecutivos: todo lo que firma ese dominio.
Un ejemplo ilustrativo, no un caso de cliente: una empresa manda 2,000 correos de prospección desde un buzón de suempresa.com, el mismo dominio con el que factura. Si 7 destinatarios lo marcan como spam (7 ÷ 2,000 = 0.35%), ya pasó el umbral de Google. A partir de ahí, las facturas que salen de ese dominio empiezan a aterrizar en la carpeta de spam de clientes actuales: el filtro mira el dominio, sin importar qué sistema originó el correo.
El costo real son semanas reconstruyendo la entrega del correo transaccional del negocio, que no tiene nada que ver con outbound y que probablemente nadie estaba vigilando. Si tu tasa de apertura cayó de golpe y sospechas que te está pasando esto, qué revisar cuando la tasa de apertura cae de golpe da el orden de diagnóstico, del chequeo más barato al más caro.
Cuánto puede parecerse a tu marca antes de activar un filtro anti-suplantación
La tentación es registrar un dominio casi idéntico al de marca (tuempresa-mail.com, gettuempresa.com) para que el prospecto reconozca de un vistazo quién le escribe. Ese es el patrón que los sistemas anti-suplantación del destinatario están diseñados para detectar.
Microsoft Defender for Office 365 incluye una protección de suplantación de dominio que marca los dominios "ligeramente similares" a uno protegido. El ejemplo de la propia documentación es contosososo.com como intento de suplantar contoso.com (Microsoft, Anti-phishing policies in Microsoft 365, actualizado el 2026-08-20, consultado el 2026-09-07).
Según esa misma documentación, la protección de suplantación de dominio:
- vive solo en Defender for Office 365, no en la protección básica que traen todos los buzones de Microsoft 365;
- no protege ningún dominio por defecto: el administrador del destinatario tiene que listarlos, con un máximo de 50 dominios personalizados por política;
- no se dispara si remitente y destinatario ya habían intercambiado correo, cuando la inteligencia de buzón está activa.
Traducido a una decisión: si tus prospectos son empresas grandes con equipo de seguridad (las que sí configuran esa lista y suelen incluir a proveedores y socios), un dominio que imite el tuyo carácter por carácter es un riesgo real. Si vendes a pymes, el riesgo es bajo, pero el costo del otro extremo sigue ahí: un dominio que no se parece en nada a tu marca no le dice nada al prospecto que busca en Google quién le escribió. Lo que resuelve las dos cosas es una variación reconocible sin imitación: otro TLD legítimo (tuempresa.mx) o una palabra descriptiva añadida.
¿Subdominio o dominio nuevo? Cuál aísla de verdad la reputación
Si necesitas aislar la reputación de un envío en frío, el subdominio no sirve: registra un dominio nuevo, aparte, con su propio SPF, DKIM y DMARC. Un subdominio (ventas.tuempresa.com) alcanza para organizar el tráfico de un sistema en el que ya confías (notificaciones de producto, por ejemplo) y para nada más, aunque los dos "se vean" como un dominio distinto en la bandeja del prospecto.
El estándar DMARC define un dominio organizacional: la política publicada ahí aplica también a sus subdominios, salvo que se declare una distinta con la etiqueta sp= (IETF, RFC 9989, mayo de 2026, sustituye a RFC 7489, consultado el 2026-09-07). En DNS se ve así:
_dmarc.tuempresa.com. TXT "v=DMARC1; p=reject; sp=none"
La etiqueta sp=none le dice al validador que la política estricta del raíz (p=reject) no aplica a los subdominios. Sin esa etiqueta, un subdominio de outbound hereda el mismo rigor que el dominio con el que facturas. Heredar rigor no da separación de reputación: una autenticación a medias en el subdominio puede rebotar correo legítimo con la misma severidad que le aplicaría al raíz.
Cuándo no conviene comprar un dominio secundario
Aislar tiene un costo: cada dominio nuevo es un registro más que pagar, autenticar y calentar (en nuestra operación, tres semanas antes del primer correo real) antes de que sirva para algo. Hay tres casos donde ese costo no se justifica todavía:
- Volumen bajo y esporádico. Unos cuantos correos personalizados a la semana no son una campaña. El riesgo de tocar el 0.30% es proporcional al volumen, y con volumen mínimo alcanza con calentar bien un buzón más dentro del dominio que ya tienes.
- Nadie que lo mantenga. Un dominio que nadie va a monitorear ni reemplazar cuando se queme no aísla nada: fragmenta la atención del equipo sobre más superficies, y el día que caiga te vas a enterar por el prospecto que te lo diga.
- Notificaciones transaccionales, no prospección. El aislamiento resuelve el riesgo del correo no solicitado. Un sistema que avisa a usuarios que ya son clientes no corre ese riesgo y no necesita esta arquitectura.
La regla del pilar sigue en pie: si nunca has mandado outbound en serio, un dominio secundario y pocos buzones alcanzan, porque la capa de dominios es también la más fácil de cambiar después. El registro es barato y recurrente (está en la tabla de costos del pilar); lo caro es el calendario de calentamiento y la vigilancia que nadie presupuesta.
Qué revisar antes de comprar el primero
Tres preguntas que se resuelven en una tarde, antes de gastar un peso en el registrador:
- ¿El nombre que vas a registrar es reconocible como tuyo sin imitar carácter por carácter el dominio de marca?
- ¿Es un dominio nuevo de verdad, o sin darte cuenta ibas a levantar un subdominio del principal?
- ¿Tienes quién lo autentique (SPF, DKIM, DMARC) y lo caliente antes de la primera campaña, o el dominio se va a quedar registrado sin usar durante semanas?
Si las tres tienen respuesta, el siguiente paso es el calendario: cómo calentar un dominio nuevo sin quemarlo en la semana dos tiene la regla que decide cuándo subir volumen y cuándo quedarte donde estás.
Cuando un dominio secundario ya se quemó, la regla operativa es dejarlo ir: no se "repara" mandando menos desde el mismo nombre ni se repone con otro clon el mismo día. Se archiva, se deja de enviar, y el volumen se mueve a infraestructura que todavía tenga reputación.
Comprar el dominio es barato. Lo caro es no tener quién lo sostenga, y así se termina con seis dominios registrados, ninguno calentado, y el outbound saliendo otra vez del dominio con el que facturas.
