Spamhaus, cuyas listas negras y datos de reputación protegen unos 4.500 millones de buzones de usuario, ha publicado un conjunto consolidado de Sender Guidelines, y llega con un plazo que todo administrador de correo autohospedado y todo ESP debería considerar activo desde ahora: a partir de noviembre de 2026 Spamhaus despliega gradualmente la exigencia de que cada IP de envío tenga un HELO válido, un registro de DNS inverso (PTR) y un registro A coincidente.
El despliegue se extenderá durante varios meses y Spamhaus no ha publicado una fecha final ni una lista de fases, por lo que los remitentes deben asumir que el requisito puede aplicarse a sus IPs en cualquier momento.
Un único lugar para reglas que ya existían
Spamhaus deja claro que la mayoría de esto no es nuevo. La organización afirma que su orientación siempre ha estado disponible, pero repartida entre preguntas frecuentes, blogs de buenas prácticas y tickets de soporte, y que las directrices no son reglas nuevas: reflejan los RFC, las buenas prácticas de los proveedores de buzones y lo que los remitentes responsables ya hacen. El cambio real es la aplicación de la higiene DNS básica. Según Spamhaus, un HELO no válido, la ausencia de DNS inverso y la falta de un registro A coincidente se encuentran entre las razones más comunes para valorar la inclusión de una IP en una lista. Un servidor mal configurado, señalan las directrices, puede confundirse fácilmente con uno comprometido o con un remitente de spam.
Los cinco requisitos mínimos
Las Sender Guidelines enumeran cinco requisitos mínimos que todos los remitentes deben cumplir para no ser incluidos en las listas:
- Usar confirmación por doble opt-in para todos los suscriptores. Cada destinatario debe confirmar su dirección pulsando un enlace en un correo de confirmación. Las listas compradas, alquiladas y recolectadas figuran como la fuente más común de impactos en trampas de spam.
- Publicar DNS inverso confirmado hacia adelante (FCrDNS) para cada IP de envío. El registro PTR debe apuntar a un nombre de dominio plenamente cualificado y ese nombre debe resolver de vuelta a la misma IP.
- Usar un nombre de host en HELO o EHLO que resuelva a la IP de envío y se mantenga constante entre conexiones. Los valores de marcador y los nombres que varían entre conexiones se tratan como señales de mala configuración o de compromiso.
- Cumplir el mínimo de IPv6. Las direcciones de envío deben estar dentro de una asignación de /64 o mayor con DNS inverso válido.
- Autenticar el correo con SPF, DKIM y DMARC. Publicar SPF y DMARC para cada dominio de envío, firmar todos los mensajes salientes con DKIM y alinear el dominio de firma DKIM con el dominio visible del campo From.
No cumplir los requisitos de infraestructura y DNS puede acabar en inclusiones en las zonas Email Spam IPs (CSS) o compromised IPs (XBL), que muchas redes receptoras usan para filtrar.
Por qué importa más allá de la lista negra
El trío HELO, PTR y registro A es la primera capa de confianza del correo. Cuando el nombre que anuncia el servidor, el registro A de ese nombre y el registro PTR de la IP coinciden, los receptores y los sistemas de reputación pueden confirmar quién se conecta. Cuando no coinciden, la conexión parece un proxy residencial, malware o una máquina comprometida, y eso es exactamente lo que marcan las listas CSS y XBL.
La conexión con la autenticación es directa. SPF, DKIM y DMARC viven en el DNS, y DMARC en particular solo funciona si los registros que lo transportan son correctos y alcanzables. Spamhaus incluye explícitamente SPF, DKIM y DMARC entre sus requisitos mínimos y afirma que la autenticación es una de las señales que conforman la reputación, por lo que los huecos de autenticación hacen más probable una inclusión cuando otras señales son débiles. Un remitente que configura bien DMARC pero deja un DNS inverso roto en una IP dedicada sigue expuesto.
Spamhaus también ha publicado un comprobador de HELO y DNS en la página de las directrices, y ofrece una prueba sencilla: enviar un correo a [email protected] para ver el valor HELO que su servidor anuncia actualmente.
Qué hacer al respecto
Compruebe cada IP de envío: DNS inverso confirmado hacia adelante, un HELO constante que resuelva a esa IP y un registro A coincidente. Recuerde que los registros PTR normalmente los controla quien es dueño del bloque de IP, así que las correcciones pueden exigir una petición a su proveedor de hosting. Después verifique que SPF, DKIM y DMARC están publicados y alineados para cada dominio de envío. Si prefiere dejar la higiene DNS, la prevención de listas negras y la autenticación en manos de una plataforma que las cuida desde el principio, regístrese gratis en Excello Mail.