Reputación de IP y
calentamiento de dominios:
recuperación tras incidentes graves

Has neutralizado la intrusión en tu servidor de correo y rotado las claves criptográficas. Sin embargo, tus correos legítimos rebotan o aterrizan en la carpeta de spam. Para los filtros de Google, Microsoft y Yahoo, tu infraestructura sigue siendo una fuente de peligro. El daño reputacional persiste mucho después de que el código malicioso ha sido eliminado.

Recuperar la confianza de los ISPs no es un proceso automático; requiere una rehabilitación técnica mediante un calentamiento controlado. En este documento aprenderás a ejecutar una estrategia de rampa de volumen, a gestionar la desestimación en listas negras y a monitorizar los indicadores de entrega para restablecer tu capacidad operativa de envío.

La reputación de envío se vincula a dos activos: la dirección IP y el dominio (DKIM). Tras un envío masivo de spam por un compromiso del MTA, los receptores asignan a estos activos una puntuación de riesgo máxima. Esta penalización se materializa en bloqueos por "Spam Traps" (direcciones trampa que nunca solicitaron correo) y quejas directas de usuarios.

Estar en una lista negra (RBL) como Spamhaus, Barracuda o SORBS es una consecuencia técnica, no administrativa. Si intentas forzar el volumen de envío habitual inmediatamente después de la limpieza, los algoritmos de reputación interpretarán el comportamiento como una reactivación del ataque, perpetuando el bloqueo. La rehabilitación exige demostrar un patrón de tráfico legítimo, previsible y de alta interacción.

Antes de enviar un solo correo de rehabilitación, debes higienizar tu base de datos. Un error crítico es reintentar el envío a direcciones que rebotaron durante el incidente. Estos "hard bounces" degradan la reputación de forma acelerada.

La acción requerida es una validación forzada de tu lista de contactos. Elimina cualquier dirección que no haya abierto un correo en los últimos 6 meses. Durante el calentamiento, solo debes enviar correos a tus usuarios más activos (aquellos con mayor probabilidad de marcar el correo como "No es spam"), ya que sus interacciones positivas son las que informan a los ISPs que la infraestructura ha vuelto a manos legítimas.

El calentamiento consiste en incrementar el volumen de envíos de forma logarítmica. Los ISPs monitorizan la consistencia. Si un día envías 10 correos y al siguiente 10.000, activarás las alertas de anomalía. La progresión debe ser suave y segmentada por proveedor (especialmente para Gmail y Outlook, que tienen sus propias métricas de reputación local).

Diferencia técnica: IP Warming vs. Domain Warming

El calentamiento de IP es vital para servidores con IP dedicada; el receptor evalúa la reputación del hardware de origen. El calentamiento de dominio se centra en la firma DKIM. En 2026, la reputación basada en dominio es más persistente que la de IP: si cambias de IP pero mantienes el dominio comprometido, el bloqueo te seguirá a la nueva red.

Para gestionar la rehabilitación, dividimos el tráfico en cuatro categorías de intensidad técnica.

1. Fase de Observación (Días 1-3)

Envío exclusivo de correos transaccionales críticos (recuperación de contraseñas, confirmaciones de compra). Volumen mínimo. El objetivo es verificar que el flujo básico no sea bloqueado frontalmente por los filtros de reputación de IP.

2. Fase de Goteo (Días 4-10)

Introducción de comunicaciones a usuarios "VIP" o altamente comprometidos. El volumen se limita a unas pocas decenas de correos por hora por ISP. Se monitorizan los logs en busca de retardos (throttling) en la entrega.

3. Fase de Carga (Días 11-21)

Incremento diario del 20-30% en el volumen. Si los indicadores de apertura se mantienen estables y la tasa de quejas es cercana a cero, se procede a ampliar la base de destinatarios.

4. Fase de Estabilidad (Día 22+)

Retorno al volumen operativo normal. Se restablece la frecuencia de envío de newsletters o notificaciones masivas, manteniendo una vigilancia estricta sobre los reportes de reputación externos.

Supongamos una base de datos de 5.000 usuarios activos tras un bloqueo total. La progresión técnica para el segmento de Gmail se estructuraría de la siguiente forma:

Este goteo permite que los filtros bayesianos del receptor aprendan de nuevo que el contenido enviado es deseado por los usuarios.

No puedes gestionar lo que no mides. Tras un incidente, el uso de estas herramientas es de carácter obligatorio:

• Google Postmaster Tools: Ofrece datos directos sobre la reputación de IP y dominio, errores de autenticación y tasa de spam reportada por usuarios de Gmail.
• Microsoft SNDS (Smart Network Data Services): Proporciona visibilidad sobre el estado de tus IPs en la red de Outlook/Hotmail, incluyendo el "spam filter verdict" (verde, amarillo o rojo).
• Talos Intelligence / SenderScore: Evalúan la reputación global de tu IP comparándola con el tráfico mundial.

La precipitación tras un incidente suele agravar la penalización técnica:

• Cambiar de IP sin limpiar el dominio: El ISP detecta la misma firma DKIM en una IP nueva "limpia" y marca la nueva red como maliciosa por asociación.
• Ignorar los retardos (Throttling): Si el ISP responde con un código 421 (limite de conexiones), y tu MTA sigue reintentando el envío agresivamente, el bloqueo temporal pasará a ser permanente.
• No gestionar las quejas de spam: Ignorar los bucles de retroalimentación (Feedback Loops). Si un usuario te marca como spam durante el calentamiento, debes darlo de baja de tu lista inmediatamente.
• Enviar contenido de baja calidad: El calentamiento no solo es volumen; es relevancia. Un correo de "calentamiento" con texto genérico puede ser clasificado como spam por contenido, invalidando la rampa de volumen.