Spamhaus publicó sus directrices para remitentes en octubre de 2026, y la única regla con fecha de inicio trata del nombre de tu servidor de correo. Desde noviembre de 2026, Spamhaus exige de forma gradual que cada IP de envío tenga un nombre HELO válido, un registro de DNS inverso (PTR) y un registro A que coincida. Un servidor que no lo cumpla se arriesga a entrar en las zonas CSS o XBL.
Casi todas las directrices repiten prácticas que la gente de entregabilidad ya sigue. La regla del HELO y el DNS inverso es distinta, porque convierte un ajuste por defecto muy común en servidores baratos en un motivo de listado.
¿Qué publicó Spamhaus en octubre de 2026?
Spamhaus publicó dos documentos: las Sender Guidelines generales y una página aparte para ESP y grandes remitentes. Las páginas de Spamhaus no llevan fecha de publicación. El primer análisis fechado es el de Steve en Word to the Wise, del 22 de octubre de 2026, y Al Iverson las cubrió en Spam Resource el 28 de octubre de 2026.
La página general abre con cinco requisitos mínimos que todo remitente debe cumplir para no acabar listado:
- Doble opt-in para cada suscriptor.
- DNS inverso confirmado para cada IP de envío.
- Un nombre HELO que resuelva a la IP de envío, constante en todas las conexiones.
- Espacio IPv6 de envío de un /64 o mayor, con DNS inverso válido.
- SPF, DKIM y DMARC en cada dominio de envío, con DKIM alineado con el dominio From visible.
La página para ESP añade que todo lo de las directrices generales se aplica al correo enviado a través de una plataforma, y que el proveedor responde del correo que envían sus clientes.
¿Qué comprueba la regla de HELO y DNS inverso de Spamhaus?
La regla de Spamhaus comprueba tres datos DNS sobre la IP que se conecta a un servidor receptor, y los tres tienen que cuadrar.
| Comprobación | Qué tiene que cumplirse | Obligatorio o recomendado |
|---|---|---|
| Nombre HELO | El nombre que tu servidor anuncia en EHLO resuelve a la IP de envío | Obligatorio |
| HELO constante | Se usa el mismo nombre HELO en cada conexión desde esa IP | Obligatorio |
| DNS inverso (FCrDNS) | La IP tiene un registro PTR que apunta a un nombre de host, y ese nombre resuelve por A o AAAA de vuelta a la misma IP | Obligatorio |
| HELO igual al PTR | El nombre HELO y el nombre del PTR son el mismo | Recomendado |
| Nombres de marca | El PTR y el HELO usan tu propio dominio y no el que trae el proveedor por defecto | Recomendado |
El DNS inverso confirmado, o FCrDNS, es el viaje de ida y vuelta de la tercera fila: de la IP al nombre por el PTR, y del nombre de vuelta a la IP por el registro A. Una sola dirección no demuestra nada, porque el PTR lo publica el dueño de la IP y el registro A el dueño del dominio, así que solo la coincidencia muestra que un mismo operador controla ambos.
Spamhaus también enumera lo que considera configuración errónea o señal de compromiso. Esa lista incluye nombres HELO de relleno como localhost, nombres de host por defecto del proveedor de hosting o del ISP, nombres HELO que resuelven a infraestructura que no envía y nombres HELO que suplantan a Gmail o a Hotmail. Varios nombres HELO desde una misma IP que resuelven a direcciones distintas pueden indicar, según Spamhaus, un proxy residencial o malware.
¿Cuándo entra en vigor el requisito de HELO?
Spamhaus solo dice que está desplegando el requisito de forma gradual («gradually rolling out») a partir de noviembre de 2026. No publica fecha de fin, ni fases, ni calendario por red, así que nadie fuera de Spamhaus puede decirte qué IP se están evaluando ya con esta regla.
La lectura práctica es tratarla como vigente desde noviembre de 2026. Un servidor que la cumple no pierde nada por seguir cumpliéndola, y uno que no la cumple no tiene ningún periodo de gracia anunciado en el que apoyarse.
¿A qué remitentes atrapará la regla de HELO y DNS inverso?
La regla de Spamhaus atrapa sobre todo a quien gestiona su propio servidor de correo con la configuración por defecto. Es una deducción a partir de los fallos que Spamhaus nombra, no una lista que Spamhaus publique, pero esos fallos apuntan a las mismas pocas configuraciones:
- Servidores propios en un VPS. Un servidor virtual recién creado a menudo llega con un PTR genérico del proveedor y un servidor de correo que anuncia el nombre local de la máquina. Spamhaus señala el DNS inverso genérico y autogenerado como algo que evitar, y los nombres HELO de relleno como una señal de alarma.
- Montajes de cold email con IP y dominios nuevos. Juntan un nombre de servidor por defecto con cero historial de envío, y Spamhaus trata cualquier cambio de IP o de HELO como un activo nuevo que hay que calentar.
- ESP pequeños y plataformas propias. Un pool compartido en el que cada IP anuncia un nombre distinto, o en el que nunca se configuró el PTR, falla la comprobación de constancia en cada conexión.
Si envías por las IP compartidas de un ESP consolidado, el HELO y el PTR son cosa del proveedor, no tuya. La página de Spamhaus para ESP pide a esos proveedores que el HELO, el PTR y el registro A usen el mismo nombre de host, a ser posible con el dominio del cliente.
¿Cómo compruebas tu propio HELO y DNS inverso?
Puedes comprobar la regla de HELO y DNS inverso de Spamhaus en cuatro pasos con herramientas gratuitas y una terminal.
- Averigua la IP de envío. Envía un mensaje a una dirección que controles y abre las cabeceras. Pégalas en el analizador de cabeceras de email de Unspam, que muestra cada salto de la entrega con su host emisor y receptor. En el salto en el que tu servidor entregó el mensaje al servidor del destinatario, el host emisor suele ser el nombre HELO que anunció tu servidor; algunos servidores, como Exim, ponen ahí el nombre de DNS inverso y dejan el HELO en una nota
helo=. La IP de conexión está en la líneaReceived:completa de ese salto, normalmente entre corchetes. - Comprueba el FCrDNS de esa IP. Pon la IP en el IP blacklist checker de Unspam. Junto a los resultados de las listas negras indica si tu IP de envío tiene DNS inverso confirmado, y acepta cualquier nombre PTR que confirme, no solo el primero.
- Resuelve el nombre HELO. Ejecuta las dos consultas de abajo y confirma que el nombre HELO devuelve la IP de envío.
- Pregunta a Spamhaus. La página de las directrices tiene su propio comprobador DNS, y Spamhaus también ofrece una comprobación automática enviando un mensaje a
helocheck@abuseat.org.
dig -x 203.0.113.25 +short
dig mail.example.com A +short
El primer comando devuelve el nombre PTR de la IP. El segundo debería devolver 203.0.113.25 cuando mail.example.com es tu nombre HELO. Si controlas el servidor, pon como HELO ese mismo nombre confirmado, con lo que cumples el requisito y la recomendación a la vez. Nuestra guía de DNS inverso explica cómo añadir el registro PTR cuando tu proveedor no lo ha configurado.
¿Qué otras cifras dejan por escrito las directrices de Spamhaus?
Spamhaus pone una cifra a otras once prácticas, y cada una de las de abajo sale de las dos páginas de Spamhaus tal como se publicaron en octubre de 2026.
| Práctica | Cifra de Spamhaus | Página |
|---|---|---|
| Tasa global de rebote | Por debajo del 5% (obligatorio) | Sender Guidelines |
| Rebotes temporales repetidos | Investigar tras 3 a 5 seguidos | Sender Guidelines |
| Bajas | Atendidas en 2 días | Sender Guidelines |
| Longitud de clave DKIM | Mínimo 1024 bits, 2048 bits recomendado | Sender Guidelines |
| Rotación de claves DKIM | Al menos una vez al año | Sender Guidelines |
| Consultas SPF | Dentro del límite de 10 consultas DNS, contando los include anidados | Sender Guidelines |
| Dominios recién registrados | En la lista Zero Reputation Domains durante 24 horas; sin usar para correo durante al menos 30 días | Sender Guidelines |
| Calentamiento | Empezar despacio con cualquier IP o dominio que no haya enviado en los últimos 90 días | Sender Guidelines |
| Buzones inactivos | Pueden reconvertirse en trampas de spam tras más de 12 meses | Sender Guidelines |
| Asignación IPv6 | Al menos un /64, con DNS inverso | Sender Guidelines |
| Vigilancia por cliente | Actuar ante tasas de rebote por encima del 5% y de quejas por encima del 0,3% | ESP y grandes remitentes |
Dos de ellas se comprueban fácilmente desde el navegador. El SPF checker de Unspam recorre el árbol de include y cuenta las consultas frente al límite de 10, y el DKIM checker de Unspam indica el tamaño de la clave RSA de cada selector que encuentra, así que una clave de 1024 bits aparece como una que conviene subir a 2048.
La última fila es un consejo a los proveedores sobre cómo vigilar a sus clientes, no una regla para un remitente individual. Es el único sitio en el que las directrices nombran una tasa de quejas.
¿Qué relación tiene la regla del HELO con un listado de Spamhaus?
Incumplir la regla de HELO y DNS inverso de Spamhaus puede llevar una IP a las zonas CSS o XBL, que es la consecuencia que nombra Spamhaus y que están dentro de ZEN, la zona que consulta la mayoría de servidores de correo. CSS es la lista automática de IP que envían spam, y XBL es la lista de máquinas que parecen comprometidas. Un HELO de relleno se parece a ambas cosas.
Eso importa a la hora de salir. Una entrada en XBL de un servidor que sigue anunciando localhost volverá después de la retirada, porque el listado se genera a partir de lo que hace el servidor. Arregla primero el HELO y el PTR, y después sigue la ruta de nuestra guía para salir de Spamhaus, que explica de qué listas puedes quitarte tú mismo y cuáles piden evidencias.
Spamhaus también deja claro que no atiende peticiones para explicar atributos de reputación ni para reiniciarla. Una configuración limpia es la única palanca que tiene un remitente.
¿Qué dejan sin aclarar las directrices de Spamhaus?
Las directrices de Spamhaus para remitentes dejan tres cosas abiertas. No hay fecha en la que termine el despliegue del HELO, no se dice con qué rapidez se lista una IP que falla una vez que entra en el alcance, y las propias páginas no llevan fechas publicadas, así que una edición posterior no se verá como tal.
Todo lo demás de las directrices es práctica estable: doble opt-in, autenticación alineada, DNS limpio y calentamiento gradual. Para la mayoría de remitentes, el nombre HELO es la pieza que con más probabilidad se quedó con su valor por defecto, y es la que ya tiene un despliegue en marcha.
