DKIM2 es el sucesor propuesto de DKIM, y está lo bastante avanzado como para planificar con él: el borrador del grupo de trabajo del IETF draft-ietf-dkim-dkim2-spec llegó a su cuarta revisión en julio de 2026 y está en la vía de estándares. Su cambio central es que cada salto añade su propia firma, de modo que un mensaje reenviado lleva una cadena de custodia en lugar de una única firma que se rompe en cuanto algo toca el mensaje.
Eso importa porque los dos problemas más difíciles de la autenticación del correo hoy, el reenvío y el replay, son ambos consecuencia de que DKIM firme una sola vez y confíe en que la firma sobreviva. En paralelo, DMARCbis avanza por el mismo proceso. Este artículo expone en qué punto están ambos y qué debería hacer un remitente mientras tanto.
Se apoya en The Actual State of Email Deliverability, un seminario web organizado por Email Industries con Unspam, con Matthew Vernhout, Head of Services en Email Industries, y Lawrence Heslin, que dirige allí cuentas y operaciones de ventas.
Pulsa play para cargar este vídeo desde YouTube (Google). Consulta nuestra política de cookies.
Qué cambia DKIM2 y en qué punto está
DKIM2 sustituye una única firma de extremo a extremo por una firma por salto. Cada sistema que maneja el mensaje añade su propia firma DKIM2, y la cadena resultante permite al receptor ver la ruta que el mensaje siguió realmente. Eso es lo que lo convierte en sucesor tanto del RFC 6376, la especificación actual de DKIM, como del RFC 8617, el estándar ARC creado para parchear el reenvío a posteriori.
La ventaja práctica es la resistencia al replay. Un mensaje extraído de un buzón y reinyectado en otro sitio arrastra una cadena que no encaja con el origen que dice tener, un problema que el DKIM actual no puede ni expresar.
En cuanto a plazos, tómalo como un horizonte de planificación y no como una fecha límite. La especificación seguía siendo un Internet-Draft en agosto de 2026, y el grupo de trabajo calcula entre doce y dieciocho meses para llevarla hacia su aprobación. Nada de lo que despliegues hoy se pierde: DKIM2 está diseñado para convivir con el DKIM existente, no para apagarlo.
DMARCbis y los borradores que avanzan con él
DMARCbis es la revisión del propio DMARC, y viaja acompañado de tres borradores relacionados que entre todos deciden cómo será el reporting a partir de ahora: informes agregados, informes de fallo y una propuesta para pasar ARC a estado histórico cuando DKIM2 lo sustituya. Los mecanismos que resultaron poco prácticos sobre el terreno, con el informe forense a la cabeza, son los que están bajo revisión.
Los proveedores también están probando paneles de suscripciones donde alguien puede ver todo aquello a lo que está suscrito y darse de baja sin abrir un mensaje. La lectura de Vernhout en el webinar: una baja es mucho mejor resultado que una queja, así que todo lo que facilite marcharse merece la pena.
Las reglas que los remitentes ya tienen que cumplir
La entregabilidad solía ser algo que se miraba cuando los mensajes ya empezaban a rebotar. Eso dejó de funcionar en febrero de 2024, cuando Gmail y Yahoo empezaron a aplicar un conjunto común de reglas.
Todos los mensajes deben estar ahora correctamente autenticados mediante SPF, DKIM y DMARC. Los remitentes masivos, definidos de forma laxa como quienes envían más de 5.000 mensajes al día, aunque a menudo se evalúan caso por caso, deben admitir la baja en un clic. Aquí el cumplimiento sigue siendo escaso: en nuestras pruebas de benchmark, solo el 14 por ciento de los remitentes supera el requisito de List-Unsubscribe en un clic, lo que deja expuesta a la gran mayoría si los proveedores empiezan a exigirlo con rigor. Google también introdujo la cabecera Feedback-ID, que permite a los remitentes rastrear las quejas hasta campañas concretas sin vulnerar la privacidad de los usuarios. Yahoo relanzó su programa de feedback loop, que exige autenticación DKIM como base para participar.
En abril de 2025, Google fue más allá y aclaró que las cuentas que no cumplan estos estándares pueden perder la capacidad de mostrar el nombre de su marca en el campo "From". En su lugar, los usuarios verían solo la dirección de correo en bruto, un cambio pensado para ayudar a los consumidores a identificar remitentes sospechosos o poco fiables. La expresión más visible de esa confianza, BIMI, sigue prácticamente sin reclamar: el 8 por ciento de los dominios que analizamos publica un registro BIMI, y solo alrededor del 1 por ciento consigue que se muestre el logotipo. A partir de ahí la autenticación dejó de ser un detalle de trastienda y pasó a ser algo que el destinatario ve.
La adopción sigue por detrás del requisito. En los dominios que analizamos en nuestros datos de benchmark, el 93 por ciento publica un registro SPF válido y el 90 por ciento firma el correo con una clave DKIM operativa, pero solo el 49 por ciento publica una política DMARC, lo que deja al 51 por ciento sin ninguna.
Todos los proveedores se movieron igual
La influencia de Gmail y Yahoo se extendió rápido. Apple fijó expectativas parecidas en autenticación y umbrales de quejas. Microsoft endureció los filtros de Outlook, lo que causó problemas visibles de entrega a muchos remitentes durante el despliegue. Orange bajó su tasa de quejas aceptable del uno por ciento al 0,3 por ciento.
AT&T, mucho tiempo la excepción en Norteamérica, pasó su correo al filtrado de Yahoo. Comcast empezó a probar un bucle de retroalimentación basado en DKIM que devuelve datos de cabecera estructurados en lugar de copias completas de la queja, así que todo lo que hayas construido para procesar el correo del FBL hay que rehacerlo.
Lo útil para quien envía es que los requisitos dejaron de contradecirse. Una sola configuración de autenticación cumple ya con casi toda la lista.
Por qué sigue siendo difícil
Un mensaje pasa por comprobaciones de autenticación, consultas de reputación, filtros de contenido y una decisión de carpeta, y por el camino los proveedores pesan miles de señales: IP de envío, antigüedad del dominio, los enlaces del cuerpo, las páginas que hay detrás de esos enlaces. Cualquiera de ellas puede mandar el mensaje a spam por sí sola.
Por eso un cambio que en tu lado parece pequeño llega grande al suyo. Un ESP nuevo. Un pico de volumen. Un registro SPF que sin avisar pasó de diez consultas.
Siete cosas que hay que acertar
Cada una se configura una vez y luego se vigila:
- SPF: mantén un solo registro por dominio, retira los includes de proveedores antiguos y no superes el límite de 10 consultas.
- DKIM: usa selectores estables, rota las claves con cuidado y vigila el DNS por si hay tiempos de espera o errores de caché.
- DMARC: impón la alineación con una política clara, revisa los informes agregados con regularidad y alinea el dominio From, el d= de DKIM y el Mail-From de SPF.
- TLS: confirma que tu ESP o MTA impone la entrega cifrada entre redes.
- BIMI: publica un registro cuando la autenticación esté sólida. Empieza con un registro autoafirmado gratuito y planifica después un certificado VMC o CMC si hay presupuesto.
- Feedback-ID: asegúrate de que las cabeceras están presentes para que las herramientas de Postmaster agrupen las quejas por campaña o lista.
- Paneles de Postmaster: configura los portales de Gmail, Yahoo y Microsoft y revísalos con constancia.
Cómo se juzga la reputación
Los proveedores puntúan comportamiento, no intención. Quejas, bajas y golpes de spam trap son las entradas obvias. La interacción es la callada: si son las mismas personas las que siguen abriendo y haciendo clic, o si la mayor parte de la lista ignora todo lo que envías. Los nombres visibles también pesan, y un emoji o un remitente genérico se lee como evasión.
Vigilar todo eso significa bucles de retroalimentación, paneles de Postmaster y tus propios números. Segmenta por interacción, a grandes rasgos nuevos, activos, enfriándose e inactivos, y fija la cadencia por segmento. Da de baja a quien lleva meses sin responder, después de un último intento de reactivación. Enviar a un segmento muerto te cuesta reputación en el vivo.
Calidad de la lista y consentimiento
Los registros de bots y las direcciones falsas meten spam traps en tu lista, y un golpe de trampa sale caro. Protege el formulario, valida las direcciones según entran y anota qué tipo de consentimiento tienes y dónde vive el suscriptor. Canadá separa el consentimiento implícito del expreso para el correo comercial, y las reglas varían lo bastante entre países como para que "tenemos un opt-in" no sea una respuesta completa.
Una tasa de bajas por encima del uno por ciento suele significar que el formulario prometía algo distinto de lo que envías, o que lo envías más a menudo de lo que la gente esperaba.
Qué tiene que hacer el propio mensaje
Móvil primero, una jerarquía clara, una acción evidente. La regla aproximada de Vernhout es un 70 por ciento de texto vivo frente a un 30 por ciento de imágenes, que mantiene el mensaje legible con las imágenes desactivadas y evita que parezca un envío solo de imagen.
La accesibilidad ya es una exigencia legal tanto en Estados Unidos como en la UE, así que el texto alternativo y el contraste real no son extras opcionales. Mantén el mensaje por debajo de 102 KB o Gmail lo recorta.
Para el nombre del remitente, usa la marca. La mayoría de los destinatarios no sabe quién es tu CEO. La empresa sí la reconocen.
Las aperturas dejaron de ser una métrica
La Protección de la Privacidad del Correo de Apple, el almacenamiento en caché de imágenes de Gmail y Yahoo y los escáneres de seguridad que abren todos los enlaces han vuelto poco fiables las aperturas y los clics como recuento. Siguen sirviendo como señal: una tasa de apertura estable que cae de golpe suele ser filtrado, no desinterés.
Mide lo que un bot no puede hacer. Compras, descargas, reservas, registros.
Por qué los filtros se volvieron agresivos
El phishing, el robo de cuentas y el fraude con deepfakes han costado miles de millones a las empresas, así que cada mensaje se escanea antes de que lo vea una persona. Algunos de esos escaneos imitan a un lector lo bastante bien como para aparecer en tus cifras de interacción, que es parte de por qué esas cifras dejaron de significar lo que significaban.
Detectarlo pronto
Las señales que aparecen antes que el problema de verdad:
- Tasas de rebote al alza, sobre todo los rebotes blandos
- Más quejas o más bajas
- Caídas bruscas de aperturas frente a una línea base estable
- Clientes que te dicen directamente que no reciben los correos
Cuando algo se rompe, mira qué cambió. Una fuente de datos de un socio nuevo. Un formulario rediseñado sin protección antibots. Una migración a una IP nueva sin calentamiento. El cambio que coincide con el inicio de la tendencia es casi siempre la causa.
ESP, IP y servicios de calentamiento
Tu ESP importa menos de lo que la mayoría supone. La reputación de dominio pesa ya más que la de IP, aunque la de la red todavía cuenta algo. Una IP dedicada se justifica por encima de unos 20.000 mensajes al día porque te aísla; por debajo, un pool compartido de buena reputación suele ganarle a una IP dedicada fría.
Sobre los servicios de calentamiento que simulan interacción, Vernhout y Heslin fueron tajantes: consiguen poco e incumplen los términos de servicio de casi todos los ESP. Un calentamiento real es subir volumen hacia gente que quiere el correo.
Qué hacer ahora
Nada de esto es un consejo nuevo. Autentica, alinea, mantén la lista limpia y envía correo que la gente haya pedido. Lo que cambió es que ahora los proveedores lo exigen, y lo exigen de forma bastante coherente como para que una sola configuración cumpla con casi todos.
