Correo: registros DNS para DNS externo

Un dominio de correo necesita un conjunto de registros DNS: indican a internet qué servidor recibe el correo, qué servidores pueden enviarlo, cómo comprobar su firma y cómo llegar al servidor de forma segura.

• DNS gestionado por PlusPanel: cuando la zona del dominio está alojada en el DNS de PlusPanel y un administrador añadió el dominio de correo, todos los registros de abajo se escriben y se mantienen al día automáticamente. No tienes que hacer nada.
• DNS externo (tu registrador, Cloudflare, otro proveedor): añades tú los registros. El panel los muestra para cada dominio en Correo → el dominio → Registros DNS, con botones para copiar, y comprueba cada registro en el DNS público.

1. Demuestra que el dominio es tuyo

Un dominio que no está en una zona de PlusPanel de tu organización ni es el nombre de uno de tus sitios pide primero una prueba de propiedad. El panel muestra un registro TXT:

Nombre	Tipo	Valor
_pluspanel-verify.example.com	TXT	pp-verify= seguido de 32 caracteres hex

Publícalo y pulsa Verificar ahora (el panel también lo comprueba solo cada 5 minutos). El correo se configura en cuanto se encuentra el registro; hasta entonces no se puede crear ningún buzón. Después puedes borrar el registro.

2. Los registros de correo

Los valores de abajo son ejemplos para example.com en un servidor con la dirección 203.0.113.10. Copia siempre los valores exactos del panel: contienen las direcciones de tu servidor y tus propias claves.

Nombre	Tipo	Valor de ejemplo	Función
example.com	MX	10 mail.example.com.	Dónde se entrega el correo del dominio
mail.example.com	A / AAAA	203.0.113.10	La dirección del servidor (también para el webmail)
autoconfig.example.com	A / AAAA	203.0.113.10	Configuración automática de las aplicaciones de correo
mta-sts.example.com	A / AAAA	203.0.113.10	Publica la política MTA-STS
example.com	TXT	v=spf1 mx include:<dominio SPF del relé> -all	SPF: qué servidores pueden enviar correo del dominio
pp202610._domainkey.example.com	TXT	v=DKIM1; k=rsa; p=MIIBIjANBgkq…	DKIM: la clave pública que comprueba la firma de tu correo
_dmarc.example.com	TXT	v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com; adkim=r; aspf=r	DMARC: qué hacen los destinatarios con el correo que no pasa SPF ni DKIM
_mta-sts.example.com	TXT	v=STSv1; id=20261019T120000	MTA-STS: anuncia la política y su versión
_smtp._tls.example.com	TXT	v=TLSRPTv1; rua=mailto:tls-reports@example.com	TLS-RPT: adónde envían los servidores los informes de fallos TLS
_autodiscover._tcp.example.com	SRV	0 1 443 autoconfig.example.com.	Autodiscover de Outlook
_imaps._tcp.example.com	SRV	0 1 993 mail.example.com.	Descubrimiento para aplicaciones: IMAP con TLS
_submissions._tcp.example.com	SRV	0 1 465 mail.example.com.	Descubrimiento para aplicaciones: envío con TLS
_submission._tcp.example.com	SRV	0 1 587 mail.example.com.	Descubrimiento para aplicaciones: envío con STARTTLS

A tener en cuenta:

• SPF depende de cómo envía el correo el servidor: mediante el relé de la plataforma (el include: que muestra el panel), mediante tu propio relé, directamente (v=spf1 mx -all) o en absoluto (v=spf1 -all). Un dominio solo puede tener un registro SPF: si ya tienes uno (para otro servicio de correo), únelos en uno solo.
• Los valores DKIM son largos. Muchos proveedores DNS los dividen en cadenas de 255 caracteres; es correcto y no tienes que hacer nada.
• Tu proveedor puede mostrar los nombres relativos a la zona (mail, _dmarc) en vez de los nombres completos (mail.example.com); significan lo mismo.

3. Verificación

Con DNS externo, el panel resuelve cada registro mediante resolutores DNS públicos y muestra, para cada uno, Encontrado, Falta o Distinto (con el valor encontrado). Las comprobaciones se hacen cada hora y bajo demanda con Comprobar los registros ahora (como mucho cada pocos minutos). Los cambios DNS pueden tardar en verse, según el TTL de los registros.

Si uno de tus propios registros se interpone en una zona gestionada por PlusPanel (por ejemplo un registro SPF o DMARC existente), PlusPanel nunca lo sobrescribe: el dominio informa de un conflicto y nombra el registro.

4. Renovación de la clave DKIM cada 6 meses

Cada dominio firma su correo saliente con una clave DKIM. PlusPanel sustituye la clave cada 6 meses (o cuando pulsas Renovar la clave ahora), sin interrumpir el correo:

1. Aparece una clave nueva con un selector nuevo, con el nombre del mes (por ejemplo pp202704._domainkey).
2. La clave nueva empieza a firmar solo cuando su registro es visible en el DNS público. Con DNS externo, añade el registro nuevo cuando lo muestre el panel; mientras tanto la clave actual sigue firmando y no se rompe nada.
3. Siete días después la clave antigua se retira y su registro se puede borrar.

En una zona gestionada por PlusPanel los tres pasos se hacen solos.

5. DMARC: cuarentena por defecto

Los dominios nuevos publican p=quarantine: los destinatarios mandan a la carpeta de spam el correo que no pasa ni SPF ni DKIM. Puedes elegir none (solo informes) mientras migras otro servicio de correo, o reject cuando todos los remitentes del dominio estén configurados. Se cambia en Correo → el dominio → Ajustes del dominio. Los informes agregados llegan a dmarc-reports@ tu dominio.

6. MTA-STS: pruebas por defecto

MTA-STS pide a los demás servidores de correo que entreguen a tu dominio solo mediante TLS verificado. Los dominios nuevos empiezan en modo testing: los fallos se notifican (mediante TLS-RPT) pero el correo se sigue entregando. Cuando los informes no muestren problemas, cambia a enforce en los ajustes del dominio. La política se sirve en https://mta-sts.example.com/.well-known/mta-sts.txt; el id del registro _mta-sts cambia con cada cambio de la política, así que actualiza también ese registro cuando el panel muestre un valor nuevo.