Si tenés tu correo en Duobox y te preguntaste qué son las dos filas de Rebotes en la tabla de DNS, esto es para vos. También si alguna vez viste “enviado por amazonses.com” debajo de un mail tuyo.
Un mail tiene dos remitentes. El que ve la persona —el From:, vos@tuempresa.com— y el del sobre, el MAIL FROM de SMTP, que es a donde vuelve un rebote si la dirección no existe. Ese segundo queda escrito en el mail como Return-Path.
El correo que sale de Duobox lo entrega Amazon SES. Hasta ahora el sobre era de SES, y Gmail lo mostraba tal cual: “enviado por amazonses.com” debajo de tu nombre.
Por qué importaba
El SPF no chequea el From:: chequea el dominio del sobre. Pasaba, pero por amazonses.com, que no es el tuyo. Para DMARC eso no cuenta, porque DMARC pide que SPF o DKIM pasen para un dominio alineado con el `From:`.
Así que el DMARC de cada dominio se sostenía con una sola pata, la firma DKIM. Si algo en el camino rompía la firma —una lista de correo que agrega un pie, un antivirus que reescribe un link— no quedaba nada que lo sostuviera.
Qué hicimos
Cada dominio tiene ahora un subdominio bounce.tudominio.com que hace de sobre, con dos registros:
| Tipo | Nombre | Valor |
|---|---|---|
| MX | bounce | 10 feedback-smtp.us-east-1.amazonses.com |
| TXT | bounce | v=spf1 include:amazonses.com ~all |
El MX es por donde SES recibe los rebotes; el TXT lo autoriza a mandar en nombre de ese subdominio. Le pedimos a SES que use bounce.tudominio.com como MAIL FROM de tu dominio, y desde ahí el Return-Path es tuyo, el SPF pasa y se alinea —bounce.tudominio.com y tudominio.com son el mismo dominio para DMARC— y el DMARC tiene dos patas en vez de una.
Qué tenés que hacer
Si el DNS de tu dominio lo manejamos nosotros, nada: los registros ya están, y en los dominios de antes se escribieron en la siguiente verificación.
Si conectaste un dominio que tenés en otro proveedor, vas a ver dos filas nuevas, Rebotes, en la tabla de DNS. Copialas allá.
Y si no las copiás, tu correo sale igual. Eso fue a propósito: mientras falte el MX de bounce, SES vuelve al sobre de antes. Hacerlos obligatorios habría dejado sin poder mandar a empresas cuyo correo ya andaba. Preferimos una mejora que se suma a un requisito que corta.
Para ver si quedaron andando, abrí la tab DNS de tu dominio en el hub: las dos filas de Rebotes dicen si están verificadas. Más cambios como este, en el changelog.