Los dominios return-path y de seguimiento personalizados son los dos ajustes de marca y autenticación que la mayoría de los remitentes omite, y son importantes por motivos distintos. Un return-path personalizado permite que SPF se alinee con su dominio From, de modo que DMARC tiene dos formas de pasar. Un dominio de seguimiento personalizado pone su propio nombre en los enlaces de clics y aperturas. Esta guía explica ambos, muestra los registros DNS implicados y describe cómo probarlos.
Los tres dominios de cada email
Un solo mensaje contiene varios nombres de dominio, cada uno usado para una comprobación distinta. Entender la diferencia explica por qué existen estos ajustes.
| Nombre | Dónde aparece | Para qué se usa |
|---|---|---|
| Dominio From | La dirección visible en la cabecera From | DMARC compara las demás comprobaciones con este dominio |
| Dominio return-path | El remitente del sobre (MAIL FROM), que aparece en una cabecera Return-Path | SPF se comprueba aquí, y los rebotes se entregan aquí |
| Dominio de firma DKIM (d=) | La cabecera de la firma | Verificación DKIM y alineación con el dominio From |
| Dominio de seguimiento | Dentro de los enlaces y píxeles de seguimiento del cuerpo | Reputación de los enlaces, análisis de seguridad y confianza en la marca |
Alineación: por qué importa el dominio return-path
DMARC exige que al menos uno de SPF o DKIM pase y que el dominio que pasa esté alineado con el dominio From. Alineado significa relacionado: con la alineación relajada, que es la opción predeterminada, un subdominio del mismo dominio de organización cuenta. Si su plataforma usa su propio dominio como return-path, SPF pasa para ese dominio pero no coincide con el suyo, así que SPF no ayuda a DMARC. Con un return-path personalizado en su propio subdominio, SPF pasa y se alinea.
| Configuración | Resultado de SPF | Resultado de DMARC |
|---|---|---|
| Return-path en el dominio de la plataforma, DKIM alineado | Pasa, no alineado | Pasa solo mediante DKIM |
| Return-path personalizado en su subdominio, DKIM alineado | Pasa y alineado | Pasa mediante ambos; más resistente |
| Return-path personalizado, DKIM roto en tránsito | Pasa y alineado | Sigue pasando mediante SPF |
| Return-path de la plataforma, DKIM roto en tránsito | Pasa, no alineado | Falla |
SPF no sobrevive al reenvío. Cuando el correo se reenvía, SPF se comprueba contra el reenviador, por lo que normalmente falla. DKIM es la señal que sobrevive. Por eso un DKIM alineado es el objetivo principal y un return-path personalizado es una segunda capa, no un sustituto.
Configurar un return-path personalizado
- Elija un subdominio. Escoja un nombre como bounce.mail.example.com que se use solo para rebotes. Manténgalo separado de su subdominio de seguimiento.
- Añada el registro que indique su plataforma. Suele ser un CNAME a un nombre de la plataforma, o un registro MX que enruta los rebotes a la plataforma. Cópielo exactamente.
- Compruebe el registro SPF del subdominio. Normalmente la plataforma gestiona la política SPF detrás del CNAME. Si no lo hace, publique un registro SPF para el subdominio que autorice a la plataforma.
- Espere y verifique. Deje pasar el TTL del registro y use su plataforma para verificar el dominio, como se describe en nuestra guía sobre cómo verificar un dominio de envío.
- Envíe una prueba y lea las cabeceras. Confirme que la cabecera Return-Path usa su subdominio y que los resultados de autenticación muestran SPF pass con ese dominio.
Return-Path: <bounce+abc123@bounce.mail.example.com>
Authentication-Results: mx.example.net;
spf=pass smtp.mailfrom=bounce.mail.example.com;
dkim=pass header.d=mail.example.com;
dmarc=pass header.from=mail.example.comEn el ejemplo, el dominio return-path es un subdominio del dominio From, por lo que se cumple la alineación relajada y SPF contribuye a que DMARC pase.
Configurar un dominio de seguimiento personalizado
El seguimiento de enlaces reescribe cada enlace de su mensaje para que pase por una redirección, de modo que se puedan contar los clics. El seguimiento de aperturas añade una imagen diminuta cuya carga se cuenta. Ambos usan un dominio. De forma predeterminada, ese dominio pertenece a la plataforma y lo comparten muchos clientes. Un dominio de seguimiento personalizado lo sustituye por un subdominio suyo.
- Elija un subdominio. Por ejemplo, links.example.com. Use un nombre que a un destinatario le resulte natural.
- Publique el CNAME. Apunte el subdominio al nombre que le dé su plataforma. Un CNAME debe ser el único registro en ese nombre.
- Espere al certificado. La plataforma solicita un certificado para el subdominio una vez que el CNAME se resuelve. Esto puede tardar de minutos a horas.
- Actívelo para el envío. Seleccione el dominio de seguimiento en sus ajustes de envío o por flujo, para que los mensajes nuevos lo usen.
- Haga clic en un enlace de prueba. Abra un mensaje, haga clic en un enlace con seguimiento y confirme que se carga por HTTPS sin advertencias del navegador y que lleva a la página correcta.
Por qué HTTPS no es opcional
Un enlace con seguimiento es lo primero que tocan un destinatario, un navegador y un escáner de seguridad. Un enlace que empieza por http, o que muestra una advertencia de certificado, despierta sospechas y pierde clics. Algunas pasarelas corporativas reescriben o bloquean por completo esos enlaces. Confirme que el certificado es válido antes de activar el seguimiento, y compruebe que la renovación es automática.
Ventajas y contrapartidas de un dominio de seguimiento personalizado
| Ventaja | Contrapartida |
|---|---|
| La reputación de los enlaces es solo suya, no se comparte con remitentes desconocidos | Sus propios errores también recaen sobre su dominio, así que manténgalo limpio |
| Los enlaces son coherentes con su marca | Otro subdominio y otro certificado que mantener |
| Es más fácil separar flujos, con un dominio de seguimiento por flujo | Más registros DNS que documentar |
| Menos sorpresas si otro remitente de un dominio compartido entra en una lista de bloqueo | Un dominio nuevo no tiene historial, así que preséntelo de forma gradual |
Introduzca un nuevo dominio de seguimiento de forma gradual. Un dominio que nunca se ha visto en enlaces no tiene reputación, ni buena ni mala, y enviar grandes volúmenes con él desde el primer día puede parecer inusual. Siga la misma progresión prudente que se describe en nuestra guía de calentamiento.
¿Debería desactivar el seguimiento en algunos mensajes?
El seguimiento de aperturas y de clics son comodidades, no requisitos. Para restablecimientos de contraseña, códigos de inicio de sesión y mensajes de seguridad similares, muchos equipos desactivan el seguimiento. Los enlaces deben ir directamente a su sitio, y los enlaces reescritos pueden hacer que un mensaje legítimo parezca phishing a los usuarios y a los filtros. Tenga en cuenta además que el seguimiento de aperturas se ha vuelto poco fiable porque las aplicaciones de correo precargan las imágenes. Trate las aperturas como una señal aproximada y los clics y las conversiones como las métricas que importan.
Un ejemplo práctico: dos flujos en un mismo dominio
Imagine una tienda que envía confirmaciones de pedido y promociones semanales. Mantiene el dominio raíz example.com para el correo del personal y crea dos subdominios de envío, uno para cada flujo. Cada uno tiene su propio conjunto de registros, de modo que las dos reputaciones nunca se mezclan.
| Flujo | Dominio From | Return-path | Dominio de seguimiento |
|---|---|---|---|
| Transaccional | orders.example.com | bounce.orders.example.com | ninguno, seguimiento desactivado para mensajes de seguridad |
| Promocional | news.example.com | bounce.news.example.com | links.news.example.com |
Con esta estructura, un pico de quejas en el flujo promocional perjudica a news.example.com y a su dominio de enlaces, mientras que las confirmaciones de pedido conservan su propio historial limpio. Cada return-path es un subdominio de su propio dominio From, por lo que SPF se alinea bajo la alineación relajada. Cada flujo firma con su propio selector DKIM, lo que también facilita rotar una clave sin tocar la otra. El coste es un puñado de registros DNS adicionales, un precio pequeño por la separación.
Cuando añada un flujo más adelante, copie el patrón en lugar de inventar uno nuevo. Una nomenclatura coherente deja claro en una cabecera, un informe DMARC o un aviso de lista de bloqueo a qué flujo pertenece un mensaje, y eso agiliza cualquier investigación.
Resolución de problemas
| Problema | Causa probable | Solución |
|---|---|---|
| El Return-Path sigue mostrando el dominio de la plataforma | El return-path personalizado no está activado para el flujo | Seleccione el dominio en los ajustes de envío y vuelva a enviar |
| SPF pasa pero DMARC falla | El dominio return-path no está alineado con From | Use un subdominio del dominio From |
| No se puede añadir el CNAME | Ya existe otro registro en ese nombre | Use un subdominio nuevo para el CNAME |
| El enlace con seguimiento muestra una advertencia de certificado | Certificado no emitido o caducado | Revise el CNAME y el estado del dominio en la plataforma |
| Los enlaces con seguimiento devuelven un error | El CNAME apunta al destino equivocado | Compárelo con el valor que figura en su cuenta |
| Enlaces bloqueados por la pasarela de un destinatario | Dominio de seguimiento nuevo sin reputación | Aumente el volumen de forma gradual y evite los acortadores |
Manténgalo al día
- Documente en un solo lugar cada subdominio y su finalidad.
- Revise los registros después de cualquier migración de DNS o cambio de registrador.
- Supervise la caducidad de los certificados de los dominios de seguimiento.
- Vuelva a probar la alineación tras cambiar de plataforma o añadir un nuevo servicio de envío.
- Revise los informes DMARC para detectar orígenes que no se alinean.
¿Quiere una segunda opinión sobre su DNS? Envíenos su dominio de envío y revisaremos los registros de return-path y de seguimiento.
Lecturas adicionales y fuentes
Preguntas frecuentes
¿Qué es la dirección return-path?
Es el remitente del sobre, también llamado MAIL FROM o Return-Path, al que se envían los rebotes. Es independiente de la dirección From que ven las personas. SPF se comprueba contra el dominio de esta dirección del sobre, no contra la dirección From visible.
¿Por qué importa un return-path personalizado?
DMARC se supera cuando SPF o DKIM pasan y se alinean con el dominio From. Si el return-path usa el dominio de su plataforma, SPF pasa pero no se alinea con su dominio From. Un return-path personalizado en su propio subdominio permite que SPF se alinee, lo que ofrece a DMARC una segunda vía para pasar además de DKIM.
¿Necesito un return-path personalizado si DKIM está alineado?
DMARC solo necesita un resultado alineado, así que un DKIM alineado es suficiente. Aun así, un return-path personalizado vale la pena como segunda capa, porque mantiene DMARC en verde si una firma DKIM se rompe en tránsito y mantiene los rebotes con la marca de su dominio.
¿Qué es un dominio de seguimiento?
Es el dominio que se usa en los enlaces reescritos y en los píxeles de seguimiento de aperturas. Con un dominio de seguimiento personalizado, los enlaces apuntan a su propio subdominio, como links.example.com, en lugar de a un dominio compartido de la plataforma, lo que inspira más confianza y mantiene la reputación de sus enlaces separada de la de otros remitentes.
¿Por qué el dominio de seguimiento necesita HTTPS?
Los navegadores y los clientes de correo advierten sobre los enlaces inseguros o los bloquean. Los enlaces que empiezan por http pueden provocar avisos y reducir la tasa de clics, y algunos escáneres de seguridad los tratan con sospecha. Asegúrese de que la plataforma emita y renueve un certificado para su subdominio de seguimiento.
¿Puedo usar el mismo subdominio para rebotes y seguimiento?
Es mejor no hacerlo. Las dos funciones usan tipos de registro distintos y las gestionan sistemas diferentes. Usar subdominios separados evita conflictos, como un CNAME que choca con un registro MX en el mismo nombre.
¿Por qué mi enlace de seguimiento muestra una advertencia de certificado?
El certificado del subdominio de seguimiento todavía no se ha emitido, ha caducado, o el CNAME no apunta adonde la plataforma espera. Revise el registro, espere a que se emita el certificado y confirme que la plataforma muestra el dominio como activo.
¿Mejorará la entregabilidad un dominio de seguimiento personalizado?
Puede ayudar de forma indirecta. Un dominio de enlaces con su marca y su propia reputación evita compartir dominio de enlaces con remitentes desconocidos, y hace que el mensaje se vea coherente. No compensa una mala calidad de la lista ni las quejas.
¿Puedo desactivar el seguimiento de enlaces?
Sí, en la mayoría de las plataformas puede desactivar el seguimiento de clics y aperturas, por mensaje o de forma predeterminada. En mensajes sensibles, como los restablecimientos de contraseña, es habitual desactivar el seguimiento, porque los enlaces reescritos pueden confundir a los usuarios y a las herramientas de seguridad.