Configurar Email en HestiaCP: SPF, DKIM y DMARC

Configurar email correctamente en HestiaCP es la diferencia entre que tus correos lleguen al inbox o acaben en spam. He visto demasiados servidores con email “funcionando” pero sin SPF, DKIM ni DMARC configurados, lo que significa que Gmail, Outlook y otros proveedores marcan sus mensajes como sospechosos.

En esta guía te explico paso a paso cómo configurar el servidor de email de HestiaCP de forma profesional: desde crear el dominio de correo hasta verificar que la autenticación funciona correctamente. Al terminar, tus emails pasarán todas las validaciones y tendrás una entregabilidad cercana al 100%.

HestiaCP usa Exim como servidor SMTP y Dovecot para IMAP/POP3, una combinación probada y estable. Incluye Roundcube como webmail y soporte para Let’s Encrypt SSL en las conexiones de correo.

Requisitos previos para email en HestiaCP

Antes de configurar el email, verifica que tienes todo listo:

En tu servidor HestiaCP

• HestiaCP instalado con servicios de email - La instalación debe incluir Exim y Dovecot
• Puerto 25 desbloqueado - Muchos proveedores cloud bloquean el puerto 25 por defecto
• IP limpia - Tu IP no debe estar en listas negras de spam
• PTR/rDNS configurado - El registro PTR de tu IP debe apuntar al hostname del servidor

Verificar que los servicios de email están instalados

Conéctate por SSH y ejecuta:

systemctl status exim4
systemctl status dovecot

Ambos servicios deben mostrar active (running). Si no están instalados, necesitas reinstalar HestiaCP con las opciones --exim yes --dovecot yes.

Verificar que el puerto 25 está abierto

Desde el servidor:

telnet smtp.gmail.com 25

Si no conecta, tu proveedor de cloud puede estar bloqueando el puerto 25. Contacta con soporte para solicitar el desbloqueo. Esto es común en AWS, Azure, GCP y Oracle Cloud.

Verificar el registro PTR (rDNS)

El PTR inverso es fundamental. Compruébalo:

dig -x TU_IP_DEL_SERVIDOR +short

Debe devolver el hostname de tu servidor (ej: mail.tudominio.com). Si no coincide, configúralo en el panel de tu proveedor de hosting.

Proveedor	Dónde configurar PTR
Avantys	Panel VPS → Network → rDNS
DigitalOcean	Droplet → Networking → PTR
Hetzner	Cloud Console → IP → Reverse DNS
OVH	Panel → IP → Reverse
Vultr	Server → Settings → Reverse DNS

Crear dominio de correo en HestiaCP

El primer paso es añadir tu dominio al sistema de email de HestiaCP.

Paso 1: Acceder a la sección Mail

1. Inicia sesión en HestiaCP
2. Ve a la sección Mail en el menú lateral
3. Haz clic en Add Mail Domain

Paso 2: Configurar el dominio

Rellena el formulario:

Campo	Valor	Notas
Domain	tudominio.com	Sin www
Antispam	✅ Activar	SpamAssassin
Antivirus	✅ Activar	ClamAV (requiere +1GB RAM)
DKIM	✅ Activar	Imprescindible
SSL	✅ Activar	Let’s Encrypt

Paso 3: Guardar y verificar

Haz clic en Save. HestiaCP creará automáticamente:

• La estructura de directorios para el correo
• Las claves DKIM (pública y privada)
• Los registros DNS necesarios (si gestionas DNS en HestiaCP)

Configurar registros DNS para email

Para que el email funcione correctamente, necesitas estos registros DNS:

Registros básicos obligatorios

Tipo	Nombre	Valor	TTL
A	mail	IP_DEL_SERVIDOR	3600
A	webmail	IP_DEL_SERVIDOR	3600
MX	@	mail.tudominio.com	3600
TXT	@	v=spf1… (ver abajo)	3600
TXT	mail._domainkey	(clave DKIM)	3600
TXT	_dmarc	v=DMARC1… (ver abajo)	3600

Si tu DNS está en HestiaCP

Los registros se crean automáticamente al añadir el dominio de correo. Solo necesitas verificar que existen:

1. Ve a DNS en HestiaCP
2. Selecciona tu dominio
3. Verifica que existen los registros MX, SPF y DKIM

Si tu DNS está en otro proveedor (Cloudflare, etc.)

Necesitas copiar los registros manualmente:

1. En HestiaCP, ve a Mail → tu dominio → Editar
2. Haz clic en el icono de DNS para ver los registros necesarios
3. Copia cada registro a tu proveedor DNS

Importante con Cloudflare: El proxy (nube naranja) NO funciona con email. Los registros mail y webmail deben tener el proxy desactivado (nube gris - DNS only).

Configurar SPF (Sender Policy Framework)

SPF indica qué servidores están autorizados a enviar email en nombre de tu dominio.

Registro SPF básico

v=spf1 a mx ip4:TU_IP_DEL_SERVIDOR ~all

Explicación:

• v=spf1 - Versión del protocolo
• a - Autoriza la IP del registro A del dominio
• mx - Autoriza los servidores MX del dominio
• ip4:TU_IP - Autoriza esta IP específica
• ~all - Softfail para otros (recomendado inicialmente)

SPF más restrictivo (recomendado después de pruebas)

v=spf1 a mx ip4:TU_IP_DEL_SERVIDOR -all

El -all (hardfail) rechaza emails de IPs no autorizadas. Úsalo solo después de verificar que todo funciona.

Si usas servicios externos

Si también envías emails desde otros servicios (Google Workspace, Mailchimp, etc.), inclúyelos:

v=spf1 a mx ip4:TU_IP include:_spf.google.com include:servers.mcsv.net ~all

Añadir el registro SPF

En HestiaCP (si gestionas DNS allí):

1. Ve a DNS → tu dominio
2. Busca el registro TXT con @ o vacío
3. Edita y añade tu configuración SPF

En Cloudflare u otro proveedor:

Tipo	Nombre	Contenido
TXT	@	v=spf1 a mx ip4:TU_IP ~all

Configurar DKIM (DomainKeys Identified Mail)

DKIM firma digitalmente tus emails, permitiendo a los destinatarios verificar que no han sido alterados.

Activar DKIM en HestiaCP

Si no lo activaste al crear el dominio:

1. Ve a Mail → tu dominio → Editar
2. Marca DKIM Support
3. Guarda

HestiaCP genera automáticamente un par de claves (pública/privada) de 2048 bits.

Obtener la clave pública DKIM

La clave pública debe añadirse a DNS. Para verla:

Método 1: Desde el panel

1. Ve a Mail → tu dominio → Editar
2. Haz clic en el icono DNS
3. Copia el registro mail._domainkey

Método 2: Desde SSH

cat /etc/exim4/dkim/tudominio.com.pub

Formato del registro DKIM

El registro TXT tendrá este formato:

Tipo	Nombre	Contenido
TXT	mail._domainkey	v=DKIM1; k=rsa; p=MIGfMA0GCSqG… (clave completa)

Notas importantes:

• El nombre del registro es mail._domainkey (no solo _domainkey)
• La clave es larga, asegúrate de copiarla completa
• Algunos proveedores DNS requieren que la clave esté entre comillas

Verificar que DKIM funciona

Después de añadir el registro, verifica:

dig mail._domainkey.tudominio.com TXT +short

Debe mostrar tu clave pública.

Configurar DMARC (Domain-based Message Authentication)

DMARC combina SPF y DKIM, indicando qué hacer con emails que fallan la autenticación.

Registro DMARC básico (recomendado para empezar)

v=DMARC1; p=none; rua=mailto:[email protected]

Explicación:

• v=DMARC1 - Versión
• p=none - Solo monitorear, no rechazar (para empezar)
• rua=mailto:... - Email para recibir informes

Registro DMARC estricto (después de verificar)

v=DMARC1; p=quarantine; sp=quarantine; adkim=s; aspf=s; rua=mailto:[email protected]

Explicación adicional:

• p=quarantine - Enviar a spam si falla
• sp=quarantine - Lo mismo para subdominios
• adkim=s - Alineación estricta de DKIM
• aspf=s - Alineación estricta de SPF

Añadir el registro DMARC

Tipo	Nombre	Contenido
TXT	_dmarc	v=DMARC1; p=none; rua=mailto:[email protected]

Progresión recomendada de DMARC

1. Semana 1-2: p=none (solo monitoreo)
2. Semana 3-4: p=quarantine (enviar a spam)
3. Después: p=reject (rechazar directamente)

Revisa los informes que recibes en el email de rua antes de endurecer la política.

Crear cuentas de email

Con el dominio configurado, ya puedes crear cuentas de correo.

Crear una cuenta nueva

1. Ve a Mail en HestiaCP
2. Haz clic en tu dominio (o el icono +)
3. Haz clic en Add Mail Account
4. Rellena:

Campo	Ejemplo	Notas
Account	info	Sin @dominio
Password	********	Mínimo 8 caracteres, mezcla de tipos
Quota	1024	MB, 0 = ilimitado
Send email to	(opcional)	Enviar credenciales a este email

5. Guarda

Opciones avanzadas de cuenta

En Advanced Options puedes configurar:

• Aliases: Direcciones alternativas (ej: contacto@ → info@)
• Forward: Reenviar emails a otra cuenta
• Autoreply: Respuesta automática (vacaciones)
• FWD only: Solo reenviar, no guardar copia local

Crear múltiples cuentas

Para empresas, las cuentas típicas son:

Cuenta	Uso
info@	Contacto general
admin@	Administración
ventas@	Departamento comercial
soporte@	Atención al cliente
noreply@	Notificaciones automáticas

Acceder al webmail (Roundcube)

HestiaCP incluye Roundcube como cliente de webmail.

URL de acceso

Por defecto, el webmail está en:

• https://webmail.tudominio.com
• https://mail.tudominio.com

Credenciales

• Usuario: tu dirección completa ([email protected])
• Contraseña: la que configuraste al crear la cuenta

Webmail alternativo: SnappyMail

HestiaCP también soporta SnappyMail como alternativa a Roundcube. Para instalarlo:

v-add-sys-snappymail

Después puedes elegir el webmail por defecto en la configuración del servidor.

Configurar cliente de correo (Outlook, Thunderbird, móvil)

Para usar el email en aplicaciones como Outlook, Thunderbird o en el móvil:

Datos de configuración

Parámetro	Valor
Servidor entrante (IMAP)	mail.tudominio.com
Puerto IMAP	993 (SSL/TLS)
Servidor saliente (SMTP)	mail.tudominio.com
Puerto SMTP	465 (SSL/TLS) o 587 (STARTTLS)
Usuario	[email protected] (email completo)
Contraseña	Tu contraseña de email
Autenticación	Contraseña normal

Configuración en Outlook

1. Archivo → Agregar cuenta
2. Configuración manual
3. POP o IMAP → IMAP
4. Introduce los datos de arriba
5. Siguiente → Probar configuración

Configuración en Thunderbird

1. Añadir cuenta existente
2. Introduce nombre, email y contraseña
3. Thunderbird detectará la configuración automáticamente
4. Si no detecta, usa configuración manual con los datos de arriba

Configuración en iPhone/iPad

1. Ajustes → Mail → Cuentas → Añadir cuenta
2. Otro → Añadir cuenta de correo
3. Introduce email y contraseña
4. Selecciona IMAP
5. Configura servidores entrante y saliente con los datos de arriba

Configuración en Android (Gmail app)

1. Gmail → Menú → Configuración → Añadir cuenta
2. Otro
3. Introduce email y contraseña
4. Selecciona Personal (IMAP)
5. Configura servidores con los datos de arriba

Verificar que la configuración funciona

Antes de enviar emails importantes, verifica que todo está correcto.

Test 1: Enviar email a mail-tester.com

1. Ve a mail-tester.com
2. Copia la dirección temporal que te da
3. Envía un email de prueba desde tu cuenta
4. Vuelve a mail-tester y mira tu puntuación

Puntuación objetivo: 9/10 o superior

Test 2: Verificar SPF

dig tudominio.com TXT +short | grep spf

Debe mostrar tu registro SPF.

Test 3: Verificar DKIM

Envía un email a una cuenta de Gmail y mira el “original” del mensaje:

1. Abre el email en Gmail
2. Haz clic en los tres puntos → Mostrar original
3. Busca dkim=pass

Test 4: Verificar DMARC

dig _dmarc.tudominio.com TXT +short

Debe mostrar tu política DMARC.

Test 5: Comprobar blacklists

Verifica que tu IP no está en listas negras:

• MXToolbox Blacklist Check
• Spamhaus

Herramientas adicionales

Herramienta	URL	Qué verifica
MXToolbox	mxtoolbox.com	Todo (MX, SPF, DKIM, blacklists)
Mail-tester	mail-tester.com	Puntuación general de email
DMARC Analyzer	dmarcanalyzer.com	Políticas DMARC
Google Postmaster	postmaster.google.com	Reputación con Gmail

Errores comunes y soluciones

”Emails van a spam”

Causas probables:

1. SPF no configurado o incorrecto
2. DKIM no activado
3. Sin registro DMARC
4. IP en lista negra
5. PTR/rDNS no configurado

Solución: Verifica cada punto con las herramientas de arriba.

”No puedo enviar emails”

Verificar: Puerto 25 bloqueado por el proveedor.

telnet smtp.gmail.com 25

Si no conecta, contacta con tu proveedor para desbloquear.

Alternativa: Usar SMTP Relay (Amazon SES, SendGrid, Mailgun).

”No puedo recibir emails”

Verificar: Registro MX incorrecto o faltante.

dig tudominio.com MX +short

Debe mostrar mail.tudominio.com (o similar).

”Error de certificado SSL en cliente”

Causa: SSL no configurado para el dominio de correo.

Solución:

1. Ve a Mail → tu dominio → Editar
2. Activa SSL Support y Let’s Encrypt
3. Guarda y espera que se genere el certificado

”Roundcube muestra error 500”

Verificar logs:

tail -50 /var/log/roundcube/errors.log

Causa común: Permisos incorrectos o base de datos corrupta.

”DKIM signature invalid”

Causas:

1. Clave pública en DNS no coincide con privada
2. Registro DKIM truncado (copiar clave completa)
3. Formato incorrecto (comillas, espacios)

Verificar:

opendkim-testkey -d tudominio.com -s mail -vvv

Preguntas frecuentes

Conclusión

Configurar email correctamente en HestiaCP requiere atención a varios detalles, pero el resultado es un servidor de correo profesional con entregabilidad cercana al 100%. Los tres pilares son:

1. SPF: Define qué IPs pueden enviar en tu nombre
2. DKIM: Firma digitalmente tus mensajes
3. DMARC: Indica qué hacer con emails que fallan

Con estos tres configurados y un PTR correcto, tus emails llegarán al inbox sin problemas.

Si prefieres tener todo esto configurado de serie, el VPS HestiaCP Administrado de Avantys incluye email corporativo profesional con autenticación completa y soporte técnico.

---

Guías relacionadas

• Cómo instalar HestiaCP en Ubuntu
• Instalar WordPress en HestiaCP
• Configurar SSL en HestiaCP
• Configurar Backups en HestiaCP
• Seguridad en HestiaCP
• ¿Qué es HestiaCP?

---