Dominio de Mailgun no verificado: corrige los registros SPF, DKIM, MX y CNAME

Qué significa

Cuando añades un dominio de envío en Mailgun, te da unos registros DNS para publicar. Hasta que Mailgun no los encuentra, el dominio está sin verificar y no puedes enviar con normalidad desde él. Los intentos de envío se rechazan; el mensaje suele decir que el dominio no tiene permiso para enviar porque no está verificado y necesita configuración DNS.

La documentación de Mailgun indica que los dos registros TXT, SPF y DKIM, son los que verifican el dominio para el envío. Los registros MX (para recibir respuestas o usar Routes) y el CNAME de seguimiento (para aperturas, clics y bajas) son recomendables, pero sirven para otras funciones.

Por qué ocurre

• Registros con un nombre incorrecto. Mailgun suele sugerir un subdominio como mg.yourdomain.com. Los registros deben estar entonces en mg.yourdomain.com y selector._domainkey.mg.yourdomain.com, no en el dominio raíz. Algunos paneles además añaden el dominio dos veces (por ejemplo mg.yourdomain.com.yourdomain.com).
• Dos registros SPF en el mismo nombre: el antiguo y el de Mailgun. SPF falla entonces con un permerror. Fusiónalos en uno solo (consulta varios registros SPF en un mismo dominio).
• Clave DKIM estropeada: recortada al pegarla, con comillas añadidas dentro del valor o con una clave larga mal dividida.
• Proxy o CNAME flattening: en Cloudflare, los registros con proxy rompen los registros de correo (consulta los registros con proxy de Cloudflare rompen el email).
• Un CNAME en el mismo nombre que el registro TXT de SPF: un CNAME oculta todos los demás registros de ese nombre.
• Zona DNS equivocada: registros añadidos en el registrador mientras el dominio usa otros servidores de nombres.
• Valores de región mezclados: los dominios de la UE usan hosts de la UE para MX y seguimiento (mxa.eu.mailgun.org, eu.mailgun.org).

Cómo comprobarlo

En el panel de control de Mailgun, abre Send, Domains, tu dominio y después la sección de registros DNS. Cada registro muestra un estado. Copia de ahí los valores exactos: son específicos de tu dominio y de tu región. Para un dominio de EE. UU. suelen tener este aspecto:

mg.yourdomain.com.                     TXT    "v=spf1 include:mailgun.org ~all"
selector._domainkey.mg.yourdomain.com. TXT    "k=rsa; p=MIGfMA0GCSqGSIb3DQEB..."
mg.yourdomain.com.                     MX 10  mxa.mailgun.org.
mg.yourdomain.com.                     MX 10  mxb.mailgun.org.
email.mg.yourdomain.com.               CNAME  mailgun.org.

El nombre del selector DKIM (la parte anterior a ._domainkey) lo elige Mailgun. Los dominios más recientes con Automatic Sender Security pueden mostrar DKIM como registros CNAME en lugar de una clave TXT, para que Mailgun pueda rotar las claves por sí mismo; publícalos exactamente como aparecen. Después consulta tú mismo el DNS:

dig +short TXT mg.yourdomain.com
dig +short TXT selector._domainkey.mg.yourdomain.com
dig +short NS yourdomain.com

El escáner de dominios de Delivmail también lee los registros SPF, DMARC, MX y DKIM de tu dominio de envío tal como los ve el exterior.

Cómo solucionarlo

1. Usa un subdominio dedicado como mg.yourdomain.com si tu dominio raíz ya recibe correo en otro sitio. No apuntes los registros MX de tu dominio raíz a Mailgun salvo que Mailgun deba recibir todo su correo.
2. Publica un solo registro SPF por nombre. En un subdominio dedicado basta con v=spf1 include:mailgun.org ~all. Si también envías desde el dominio raíz con otros servicios, añade include:mailgun.org al registro existente en lugar de crear un segundo.
3. Pega el valor DKIM de una sola vez, sin comillas de más. Si tu proveedor limita las cadenas TXT a 255 caracteres, deja que divida el valor en varias cadenas dentro del mismo registro.
4. Desactiva el proxy y elimina cualquier CNAME en conflicto con los mismos nombres.
5. Haz clic en "Verify DNS settings" en la configuración del dominio, o espera a las comprobaciones automáticas de Mailgun. Los registros nuevos suelen aparecer en minutos, pero las cachés pueden retrasarlo; una respuesta "sin registro" en caché puede durar hasta que caduque su TTL.
6. Añade DMARC en tu dominio raíz si no tienes, por ejemplo _dmarc.yourdomain.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com". El DKIM de Mailgun en mg.yourdomain.com se alinea con una dirección From en mg.yourdomain.com, y también con yourdomain.com en modo relajado.

Hasta que el dominio esté verificado, puedes hacer pruebas con el dominio sandbox, que solo entrega a destinatarios autorizados: consulta sandbox de Mailgun: solo destinatarios autorizados.

Comprueba que está solucionado

Todos los registros deberían aparecer como verificados en el panel de Mailgun. Envía un mensaje a través de Mailgun desde tu dominio verificado a la dirección única de la página de inicio de Delivmail: el informe debería mostrar SPF superado para mg.yourdomain.com (Mailgun lo usa como dominio de rebote), DKIM superado con d=mg.yourdomain.com (o tu dominio) y DMARC superado. Después reenvía los mensajes que fallaron.