Mi newsletter caía en Spam: cómo solucioné la entregabilidad gratis con Cloudflare

Todo empezó con un mensaje de WhatsApp de un amigo: "Hola, me suscribí a tu newsletter, pero nunca me llegó el correo de confirmación".

Le pedí que revisara su carpeta de Spam. "Sí, aquí está", me respondió.

Esa fue una señal de alerta inmediata. Fui rápido a revisar mi panel en Kit (ConvertKit) y noté una tendencia preocupante: mis tasas de apertura habían caído en picada durante los últimos meses. Estaba enviando mis newsletters usando mi dirección personal de @gmail.com, asumiendo que era suficiente para el blog personal de un desarrollador.

Resulta que estaba rompiendo las reglas fundamentales de autenticación de correos.

Veamos por qué las direcciones de correo personales fallan al enviar newsletters y cómo solucionarlo de forma definitiva.

1. El problema principal: DMARC, SPF y remitentes "falsos" 🚫

A principios de 2024, Google y Yahoo implementaron reglas estrictas contra el spam. En pocas palabras:

Si un correo dice provenir de @gmail.com pero se origina en un servidor de terceros (Kit, Mailchimp, Resend o Brevo), los proveedores de correo lo tratan como suplantación de identidad (spoofing).

Para superar los filtros automáticos de seguridad, los proveedores de correo revisan tres registros clave:

1. SPF (Sender Policy Framework): declara qué servidores tienen autorización para enviar correos en nombre de tu dominio.
2. DKIM (DomainKeys Identified Mail): añade una firma digital criptográfica para verificar que el correo no fue modificado en el camino.
3. DMARC (Domain-based Message Authentication, Reporting, and Conformance): indica a los servidores de correo receptores cómo procesar los mensajes que no pasan las comprobaciones SPF o DKIM (por ejemplo, p=none o p=quarantine).

No puedes configurar claves SPF ni DKIM para el dominio @gmail.com porque le pertenece a Google. Es obligatorio enviar desde un dominio personalizado (como hola@danywalls.com).

¿El dilema? Pagar entre $6 y $10 al mes por un buzón de Google Workspace o Microsoft 365 solo para enviar un newsletter semanal del blog se vuelve costoso rápidamente.

Veamos cómo Cloudflare resuelve esto sin suscripciones mensuales adicionales.

2. La solución: Cloudflare Email Routing + dominio personalizado ☁️

Si gestionas el DNS de tu dominio con Cloudflare, tienes acceso a una función integrada llamada Cloudflare Email Routing:

• Entrada (Recepción): cuando alguien escribe a hola@danywalls.com, Cloudflare reenvía automáticamente el mensaje a mi-cuenta-personal@gmail.com.
• Salida (Envío): tu plataforma de newsletters (Kit, Resend o Mailchimp) envía los correos usando tu identidad personalizada (hola@danywalls.com) firmada con las claves DKIM/SPF verificadas de tu dominio.

Esta arquitectura te ofrece una excelente entregabilidad de correos y una imagen profesional por $0 al mes.

Ahora pasemos al paso a paso para configurarlo en 10 minutos.

3. Guía de implementación paso a paso 🛠️

Paso 1: Activar Email Routing en Cloudflare

1. Abre tu panel de control (Cloudflare Dashboard) y selecciona tu dominio.
2. Ve a Email > Email Routing.
3. Haz clic en Get Started y configura tu dirección personalizada:
   • Custom Address: hola (crea hola@danywalls.com)
   • Destination Address: tu-correo-personal@gmail.com
4. Cloudflare enviará un correo de confirmación a tu bandeja personal. Haz clic en el enlace de verificación para activar el reenvío.
5. Acepta la solicitud de Cloudflare para agregar automáticamente los registros MX y TXT necesarios a tu zona DNS.

Ahora los correos entrantes dirigidos a tu dominio personalizado llegarán sin problemas a tu bandeja personal.

A continuación, configuremos la verificación de salida para tus envíos.

Paso 2: Agregar el dominio de envío verificado en tu proveedor de correo

Sin importar si usas Kit, Mailchimp o Resend, el proceso de verificación es el mismo:

1. En la configuración de tu proveedor de correo, busca Sending Domains o Verified Domains.
2. Escribe tu dominio principal (por ejemplo, danywalls.com).
3. Tu proveedor generará 3 registros CNAME con tus claves públicas DKIM únicas.

Paso 3: El detalle crítico con Cloudflare DNS (nube gris vs. nube naranja) ⚠️

Al copiar estos registros CNAME en Cloudflare DNS, hay un paso crítico que muchos desarrolladores pasan por alto:

[!IMPORTANT] Desactiva la nube naranja (Proxy) en todos los registros CNAME de DKIM. Déjalos en DNS Only (nube gris). Si el proxy de Cloudflare está activo, Cloudflare intercepta las consultas DNS y devuelve sus propias IPs de proxy, lo que impide que tu proveedor de correo verifique las claves DKIM.

Type: CNAME
Name: kit1._domainkey.danywalls.com
Target: dkim.kit-verify.com
Proxy status: DNS only (Gray Cloud) ☁️

Una vez guardados, la propagación DNS tarda entre 2 y 5 minutos.

Paso 4: Agregar el registro DMARC para aplicar la política con seguridad

Para cumplir por completo con los requisitos de Google y Yahoo, agrega un registro TXT sencillo para DMARC:

Type: TXT
Name: _dmarc
Content: v=DMARC1; p=none; rua=mailto:dmarc-reports@danywalls.com;

Una política con p=none te permite monitorear la entregabilidad sin riesgo de que correos legítimos sean rechazados mientras haces pruebas.

Pasemos ahora a comprobar los resultados.

4. Comprobando la entregabilidad y la llegada a la bandeja principal 📬

Cuando tu dominio aparezca como Verified en el panel de tu proveedor de correo:

1. Actualiza tu dirección de remitente predeterminada a hola@danywalls.com.
2. Envía un correo de prueba a una cuenta personal de Gmail y otra de Yahoo.
3. Abre el correo en Gmail, haz clic en los tres puntos (⋮) y selecciona "Mostrar original".
4. Confirma que SPF, DKIM y DMARC muestren las insignias verdes de PASS.

Tus correos ahora llegarán de forma consistente a la bandeja principal en lugar de terminar en Spam o en la pestaña de Promociones.

Resumen 💡

La entregabilidad del correo es deuda técnica invisible: rara vez la notas hasta que la interacción de tus suscriptores se desploma.

• Enviar newsletters desde @gmail.com no pasa la autenticación moderna de DMARC.
• Cloudflare Email Routing ofrece reenvío gratuito de mensajes entrantes directamente a tu buzón personal.
• Los registros CNAME de DKIM deben configurarse en DNS Only (nube gris) en Cloudflare para verificarse con éxito.
• Agregar un registro TXT para DMARC garantiza el cumplimiento con las reglas de bandeja de entrada de Google y Yahoo.

Si buscas optimizar tu infraestructura en la nube y tu entorno de desarrollo, echa un vistazo a mis guías sobre cómo migrar Next.js de Vercel a Google Cloud Run y cómo mejorar tus habilidades cloud como desarrollador frontend.

¡Éxitos escribiendo y programando!