Qué son los registros MX: así se enruta el correo

Cuando alguien envía un mensaje a you@example.com, su servidor de correo tiene que responder a una pregunta antes que a ninguna otra: ¿qué máquina acepta el correo de example.com? El registro MX es la respuesta.

MX significa Mail Exchange (intercambio de correo). Sin uno, el correo dirigido a tu dominio rebota, aunque el sitio web funcione perfectamente. Los registros del sitio web y los del correo son completamente independientes.

Qué aspecto tiene un registro MX

example.com.    3600    IN    MX    1     aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt1.aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt2.aspmx.l.google.com.
example.com.    3600    IN    MX    10    alt3.aspmx.l.google.com.

El número que va antes del nombre de host es la prioridad (a veces llamada preferencia). Todo lo demás es un registro estándar.

Cómo funciona realmente la prioridad

Un servidor remitente ordena tus registros MX por prioridad y los prueba en orden. Si el host de menor número rechaza la conexión o agota el tiempo de espera, pasa al siguiente. Esto es redundancia genuina: el correo sigue fluyendo mientras un servidor está caído.

Los registros que comparten la misma prioridad (las dos entradas con 5 de arriba) tienen balanceo de carga. El remitente elige entre ellos al azar, repartiendo el volumen entre ambos.

Las reglas que deben cumplir los destinos MX

• El destino debe ser un nombre de host, no una dirección IP. MX 10 93.184.216.34 no es válido; usa MX 10 mail.example.com. con un registro A en ese nombre.
• El destino no debe ser un CNAME. La especificación exige que los destinos MX se resuelvan directamente a registros de dirección. Algunos servidores de correo se niegan a entregar en caso contrario. Consulta CNAME frente a A.
• El destino necesita su propio registro A o AAAA. Un MX que apunta a un nombre que no se resuelve equivale a no tener MX en absoluto.

MX nulo: declarar que un dominio no envía correo

Si un dominio nunca va a recibir correo, dilo de forma explícita con un único registro MX que apunte a la zona raíz:

example.com.    3600    IN    MX    0    .

Un único . como destino significa que este dominio no acepta correo. Los remitentes lo rechazan de inmediato con un error permanente en lugar de reintentar durante días, y además hace que el dominio sea un objetivo menos atractivo para la suplantación. Conviene configurarlo en todos los dominios tuyos que no se usen para correo.

Qué ocurre cuando no hay ningún registro MX

El recurso histórico es que los remitentes prueban el registro A del dominio e intentan la entrega allí. Confiar en esto es mala idea: el comportamiento varía entre servidores de correo, y si tu registro A apunta a un servidor web o a una CDN sin ningún demonio de correo, los mensajes rebotan.

Los registros MX no son toda la historia

MX decide adónde se entrega el correo. Otros tres registros deciden si es de confianza, y sin ellos tu correo legítimo acaba en las carpetas de spam:

• SPF: un registro TXT que enumera qué servidores pueden enviar como tu dominio.
• DKIM: un registro TXT que publica la clave con la que se firma tu correo saliente.
• DMARC: un registro TXT que indica a los receptores qué hacer cuando SPF o DKIM fallan.

Los tres se tratan en SPF, DKIM y DMARC explicados. Un cuarto factor, el DNS inverso, importa para los servidores que envían correo directamente.

Los fallos que pierden correo y cómo detectarlos

Una mala configuración de MX rara vez se anuncia a sí misma. El correo no se detiene: se va reduciendo, o llega tarde, o se queja un remitente mientras todos los demás están bien. Estos son los patrones que conviene reconocer.

Registros que apuntan a un proveedor que ya no usas

La causa más común, con diferencia, de correo que desaparece misteriosamente. Una migración deja los registros MX del proveedor antiguo junto a los nuevos, de modo que los remitentes reparten entre ellos según la prioridad y una parte de los mensajes acaba en un buzón que nadie lee. Síntoma: el correo de algunos remitentes llega y el de otros desaparece, sin ningún rebote.

El destino MX no tiene registro de dirección

Un MX que apunta a mail.example.com cuando ese nombre no se resuelve equivale funcionalmente a no tener MX en absoluto. Los remitentes o bien rebotan de inmediato o bien ponen en cola y reintentan durante días antes de rendirse. Verifica siempre que el destino se resuelve, no solo que existe el registro MX.

Un firewall que bloquea el puerto 25

DNS perfecto, servidor inaccesible. El SMTP entrante llega por el puerto 25, y los proveedores de nube suelen bloquearlo de forma predeterminada en las instancias nuevas. La consulta MX tiene éxito, la conexión nunca se completa y los remitentes ponen en cola en silencio.

Cómo comprobar tus registros MX

dig +short example.com MX

La herramienta de consulta devuelve los registros MX ya ordenados por prioridad, y muestra un MX nulo de forma explícita en lugar de como un valor vacío que confunde, lo que facilita confirmar de un vistazo que tu servidor principal es el que esperas.