Senyals de correu (SPF, DKIM i DMARC) per a no tècnics

A analitik mesurem aquests registres. No mesurem si un pressupost concret va aterrar a spam. Dir «el teu correu va a spam» sense aquest mesurament seria inventar.

Si el registre no es va poder llegir, l'estat és no mesurat.

SPF (Sender Policy Framework). Una llista pública de servidors autoritzats a enviar correu amb el teu domini. Si un servidor no és a la llista, SPF no el reconeix. Un SPF «permissiu» o mal tancat no bloqueja gran cosa: avisa poc i deixa passar.

DKIM (DomainKeys Identified Mail). Una signatura criptogràfica que viatja amb el missatge. El receptor pot comprovar que el contingut no s'ha alterat i que la clau encaixa amb el domini. Sense DKIM, no hi ha aquesta signatura. No vol dir que el missatge «sigui fals»; vol dir que no porta aquest segell.

DMARC (Domain-based Message Authentication, Reporting and Conformance). La política que uneix les dues anteriors. Diu què fer quan SPF o DKIM no quadren: no fer res (`p=none`, només informes), posar en quarantena o rebutjar. `p=none` no impedeix que algú enviï fent-se passar per tu; només deixa rastre si vas configurar els reportes.

Les tres viuen al DNS. Les posa qui administra el domini (l'informàtic, el proveïdor de correu, de vegades el del web). No són a Gmail com un botó d'«activar seguretat».

Un informe honest no deixa anar «email piratejat». Deixa anar estats. SPF: absent / permissiu / alineat (qui està autoritzat a enviar). DKIM: absent / present, amb el selector vist (hi ha signatura publicada o no). DMARC: absent / `p=none` / `p=quarantine` o `p=reject` (quina política hi ha, no si «arriba»). MX: absent / present (hi ha bústia declarada al domini).

domini `clinicaejemplo.example`, DNS mesurat el data. SPF: el dato medido. DKIM: el dato medido. DMARC: el dato medido. Bústia d'un client: no mesurat.

«Absent» és vermell: es va preguntar al DNS i no hi ha registre. «No mesurat» és gris: timeout, DNS que no va respondre, no es va consultar. No s'omplen amb un 0.

Tampoc no s'afirma que un DMARC en rebuig «pugi l'entregabilitat un X %». X demana estudi amb font i data. Aquí no el tenim.

Copia el domini (el del web, no el de Gmail personal). Demana a qui us va muntar el correu: «hi ha SPF, DKIM i DMARC? En quina política és DMARC?».

Si ja hi ha un PDF de captació, passa-li la pàgina d'arranjaments: passos copia-enganxa, no un discurs. Ell enganxa; tu no has d'aprendre DNS.

No passis de `p=none` a `p=reject` el divendres sense saber quins sistemes envien (passarel·la, newsletter, factures, el programa de cites). Un rebuig benintencionat pot tirar correu legítim. L'ordre habitual és publicar, vigilar informes, endurir. El detall el marca qui opera el DNS.

Si feu servir un correu `@gmail.com` per al negoci i el domini del web no envia, els tres senyals del domini no parlen d'aquest Gmail. Parlen del nom que hi ha a la lona. Barrejar-los és l'error més comú.

El client no veu el DNS. Veu si li arriba un pressupost, una cita o un «la teva comanda ha sortit». Quan el domini no signa, el risc és de suplantació (algú fa servir el teu nom) i de pèrdua de missatges que no pots comptar.

Per això és als 6 punts, al costat del web i de les ressenyes: és mesurable, és públic i no és una keyword.

L'Informe de Captació ho tradueix a llenguatge pla. Les preguntes ho delimiten: mesurem el correu del domini, no operem la teva bústia. Una gestoria o una botiga ho pateixen igual que una clínica: el PDF i la factura surten d'aquest nom.