Cómo solucionar problemas de envío de correos en WordPress

La causa más frecuente está en el método que WordPress usa por defecto para enviar correo. De fábrica, WordPress despacha sus mensajes —avisos, recuperaciones de contraseña, notificaciones de pedidos, respuestas de formularios— mediante una función básica que le pide al servidor de hosting que envíe el correo, y ese método es poco confiable por dos motivos. Primero, muchos hostings lo tienen limitado o directamente desactivado, con frecuencia como medida contra el abuso, de modo que el correo simplemente no sale, y lo peor es que WordPress no muestra ningún error al respecto, por lo que el problema pasa desapercibido. Segundo, incluso cuando el correo logra salir, lo hace mal autenticado, sin pruebas claras de su origen, y los grandes proveedores de correo desconfían de esos mensajes y los envían a la carpeta de spam o los rechazan. El resultado es silencioso y desconcertante: el sitio parece funcionar con normalidad, pero los correos no llegan a destino y nadie ve una señal de error. Por eso el problema tiene una causa clara y una solución estándar, que es reemplazar ese método por defecto por un envío mediante SMTP a través de un servicio de correo dedicado.

SMTP es el protocolo estándar para el envío de correo electrónico, y en el contexto de WordPress la solución consiste en configurar el sitio para que envíe sus correos a través de un servicio de correo dedicado usando ese protocolo, en lugar de despacharlos por su cuenta con la función básica del servidor. En la práctica, esto se hace instalando un plugin de SMTP y conectándolo a un servicio de correo confiable, que puede ser un proveedor especializado en el envío de correos o el correo del propio dominio. A partir de ahí, WordPress deja de intentar enviar los mensajes por su cuenta y se los entrega a ese servicio, que está diseñado específicamente para despacharlos correctamente y goza de buena reputación ante los grandes proveedores de correo. Esto soluciona la mayoría de los casos de correos que no llegan, porque reemplaza un método poco fiable y a menudo bloqueado por otro hecho para la tarea y bien considerado. Las credenciales de acceso al servicio SMTP se guardan en la configuración del plugin y, como cualquier secreto, deben tratarse con cuidado.

Son tres mecanismos de autenticación de correo que se configuran mediante registros en el DNS del dominio y que, en conjunto, prueban a los proveedores de correo que tus mensajes son legítimos, lo que hace que lleguen a la bandeja de entrada en lugar de a spam. SPF declara qué servidores están autorizados a enviar correo en nombre de tu dominio, de modo que un mensaje que diga venir de tu dominio pero salga de un servidor no autorizado resulte sospechoso. DKIM agrega a cada correo una firma criptográfica que permite comprobar que el mensaje salió realmente de tu dominio y que no fue alterado durante el trayecto. DMARC les indica a los proveedores qué deben hacer con un correo que afirma provenir de tu dominio pero no supera las comprobaciones de SPF o DKIM —dejarlo pasar, marcarlo o rechazarlo— y además permite recibir informes sobre los intentos de envío en nombre de tu dominio. Configurar los tres es esencial para la entregabilidad, y muchos servicios de correo dedicados guían este proceso e incluso lo automatizan en buena medida.

Cuando los correos salen del sitio pero terminan en la carpeta de spam, el problema ya no es que no se envíen, sino que les falta autenticación que demuestre su legitimidad. Los grandes proveedores de correo aplican filtros estrictos para combatir el spam y el phishing, y desconfían de los mensajes que no pueden probar claramente su origen. Si tu dominio no tiene bien configurados los registros de autenticación SPF, DKIM y DMARC, tus correos legítimos quedan bajo sospecha y son enviados a spam o incluso rechazados, por más que técnicamente se hayan enviado. La solución es configurar esos tres registros en el DNS de tu dominio: SPF para autorizar los servidores de envío, DKIM para firmar criptográficamente los mensajes, y DMARC para indicar la política ante fallos. Además, ayuda enviar desde una dirección del propio dominio en lugar de desde casillas de terceros, y usar un servicio de correo dedicado con buena reputación. Una vez configurada la autenticación, conviene enviar un correo de prueba y verificarlo con alguna de las herramientas gratuitas en línea que analizan si SPF, DKIM y DMARC están correctamente aplicados.

Conviene hacerlo por etapas, porque la solución depende de en qué punto se rompe la cadena. La primera pregunta es si WordPress siquiera intentó enviar el correo, y para responderla se usa un plugin de registro de correo que anota cada mensaje que WordPress genera y si el envío se ejecutó; si un correo esperado ni siquiera aparece en ese registro, el problema está antes, en el plugin o la función que debía dispararlo. La segunda pregunta, si WordPress sí lo intentó pero el mensaje no llega, es si el correo llegó a salir del servidor; en ese caso lo más probable es que el envío por defecto esté bloqueado o limitado por el hosting, y la solución es configurar SMTP. La tercera pregunta, si el correo sale pero cae en la carpeta de spam del destinatario, indica que el envío funciona pero falta autenticación, de modo que hay que configurar SPF, DKIM y DMARC. Este diagnóstico ordenado —se generó, salió, llegó— es la aplicación del método de cualquier depuración al problema del correo, y evita perder tiempo tocando lo que no corresponde. Para verificar el resultado final existen herramientas gratuitas en línea que analizan un correo de prueba.

Sí, y de una forma que muchas veces se pasa por alto. Los mismos registros de autenticación que hacen que tus correos legítimos lleguen a destino —SPF, DKIM y DMARC— cumplen simultáneamente una función de seguridad muy importante: impiden que terceros suplanten tu dominio para enviar correos fraudulentos haciéndose pasar por vos. Sin esta autenticación, un atacante podría enviar mensajes que aparenten provenir de tu dominio, por ejemplo para hacer phishing contra tus clientes o contactos, dañando tu reputación y engañando a personas que confían en tu nombre. Al configurar SPF, DKIM y DMARC correctamente, le indicás a los proveedores de correo del mundo cuáles son los servidores legítimos de tu dominio, cómo verificar la firma de tus mensajes y qué hacer con los que no cumplan, lo que dificulta enormemente la suplantación. Por eso esta configuración es a la vez una medida de entregabilidad, para que tus correos lleguen, y una medida de seguridad defensiva, para proteger tu dominio y a quienes reciben correo tuyo. Es un buen ejemplo de cómo una misma buena práctica resuelve un problema funcional y refuerza la protección al mismo tiempo.