Qué implica el requisito de verificación de dominio de Salesforce

Qué ha cambiado en marzo

La versión Spring ’26 de Salesforce introdujo la verificación obligatoria de los dominios para todos los dominios desde los que se envían correos electrónicos. La aplicación de esta medida comenzó el 9 de marzo de 2026.

Datos clave:

1. Salesforce exige ahora la verificación del dominio, además del requisito ya existente de verificar las direcciones de correo electrónico individuales.
2. Hay dos métodos de verificación del dominio disponibles: configurar una clave DKIM activa (el método recomendado por Salesforce) o añadir el dominio a la lista de dominios de correo electrónico autorizados.
3. Los correos electrónicos enviados desde dominios no verificados fallan. Los administradores pueden identificar estos fallos en los registros de correo electrónico de Salesforce buscando el código de error: 550 5.7.1 Entrega no autorizada, mensaje descartado.

Salesforce recomienda DKIM porque proporciona una firma criptográfica de los mensajes salientes y mejora la capacidad de entrega en todos los servidores receptores.

Qué significa esto más allá de la consola de administración de Salesforce

El requisito de Salesforce pone de manifiesto un control a nivel de DNS que muchas empresas han pospuesto.

DKIM no es una configuración específica de Salesforce. DKIM es una clave pública publicada en el DNS de su dominio que los servidores receptores utilizan para verificar las firmas de los mensajes.

Una empresa que no tenga DKIM configurado para sus dominios de envío está expuesta a la suplantación de identidad y al spoofing. Los atacantes pueden enviar correos electrónicos que parezcan proceder de su dominio y, sin una firma DKIM activa, los servidores receptores no tienen forma de verificar que el mensaje sea legítimo.

Configurar DKIM en Salesforce solo cubre los correos electrónicos enviados a través de Salesforce. El resto de tus servicios de envío – plataformas de marketing, herramientas de correo electrónico transaccional, sistemas de RR. HH. y aplicaciones financieras – requieren cada uno su propia configuración DKIM.

Cómo abordar la verificación del dominio

Si los requisitos de Salesforce han puesto de manifiesto una brecha de autenticación, empieza por definir el ámbito antes de iniciar la configuración.

Audita primero tus dominios de envío. Identifica todos los dominios que se utilizan para enviar correos electrónicos en todo tu entorno – no solo Salesforce. La mayoría de las empresas envían correos desde múltiples dominios a través de diversas plataformas, y no todos ellos son visibles para el equipo de seguridad.

Comprueba los registros DKIM y DMARC existentes de cada dominio. Utiliza herramientas de búsqueda para confirmar si los registros están activos y tienen el formato correcto.

Da prioridad a los dominios de envío activos. Verifica y activa DKIM para los dominios que se estén utilizando actualmente antes de ocuparte de los dominios inactivos.

No trates la configuración de DKIM en Salesforce como el estado final. Es casi seguro que el mismo dominio que envía desde Salesforce también lo haga desde otras plataformas. Cada una requiere su propia clave DKIM, y cada brecha representa una exposición independiente.

Utilice este requisito como motivo para escalar su política DMARC. Si su registro DMARC sigue estando en p=none, su dominio no está protegido – solo se supervisa. El requisito de aplicación de Salesforce es una razón válida para iniciar el proceso de escalado hacia p=quarantine y, posteriormente, p=reject.

El patrón de aplicación más amplio

El requisito de Salesforce forma parte de una tendencia más amplia del sector hacia la autenticación obligatoria del correo electrónico.

En febrero de 2024, Google y Yahoo anunciaron que empezarían a exigir a los remitentes masivos que implementaran SPF y DKIM, y que publicaran un registro DMARC con una política mínima de p=none. Los remitentes que no cumplieran se enfrentaban al rechazo de sus mensajes o a que estos acabaran en la carpeta de spam. En mayo de 2025, Microsoft se sumó con requisitos equivalentes para los remitentes de gran volumen.

El patrón es consistente: Google, Yahoo, Microsoft y, ahora, Salesforce exigen todos la verificación del dominio antes de entregar su correo. La autenticación ya no es una recomendación. Es una condición para poder enviar correo.

A medida que más plataformas exigen la verificación del dominio, las empresas que no han avanzado más allá de p=none se enfrentarán a cada vez más problemas operativos: envíos fallidos, direcciones de remitente “De” alteradas y flujos de correo electrónico que se interrumpen sin previo aviso.

Averigua cuál es tu situación antes de la próxima fecha límite

El requisito de Salesforce pone de manifiesto un problema: el estado de la autenticación del correo electrónico de su empresa en todos los dominios de envío. En la mayoría de los entornos empresariales, ese estado es inconsistente – algunos dominios están totalmente configurados, otros parcialmente configurados, y algunos no tienen ningún control de autenticación.

Los equipos de seguridad y de TI que gestionan entornos distribuidos se enfrentan a varios retos que se agravan entre sí: visibilidad incompleta de todos los dominios y servicios de envío, dificultad para coordinar los cambios de DNS entre departamentos y regiones, y ningún reporte centralizado que confirme qué está protegido y qué no. Sin una supervisión continua, las brechas se acumulan silenciosamente hasta que un evento de aplicación de una plataforma las convierte en problemas operativos.

Sendmarc ofrece visibilidad unificada de tus configuraciones DMARC, SPF y DKIM. Gestión DMARC muestra todas las fuentes de envío y el estado de las políticas en todos tus dominios, para que puedas identificar qué está sin verificar, qué está mal configurado y qué requiere acción inmediata – antes de la próxima fecha límite, no después.

Descubre cómo Sendmarc refuerza tu nivel de autenticación en todo tu entorno de correo electrónico.