El correo de Schrödinger: cuando reenviar un email rompe la autenticación

Fuentes: The Schrödinger Email: How Email Forwarding Breaks Authentication

Un usuario documenta en primera persona un problema de infraestructura de correo electrónico que parecía trivial y terminó en un auténtico laberinto técnico. El autor, que gestiona varias tarjetas de crédito en aplicaciones como CRED o Fold, necesitaba reenviar los extractos desde su cuenta de Outlook a Gmail sin perder el remitente original del banco. Microsoft elimina esa información al redirigir mensajes, lo que obliga a recurrir a reenvíos automáticos.

El primer intento consistió en crear una regla de Outlook para redirigir el correo a Gmail. La regla funcionaba, pero sin indicadores de estado: cuando fallaba, el usuario solo descubría el error porque Gmail rechazaba el mensaje con la alerta «very low reputation of the sending domain». Los encabezados del mensaje revelaron que la primera entrega (Gmail → Outlook) pasaba SPF, DKIM y DMARC sin problemas; el rechazo se producía en el segundo salto (Outlook → Gmail), cuando la infraestructura de Microsoft, y no la del banco, entregaba el mensaje.

El artículo repasa el funcionamiento de SPF, DKIM y DMARC, los tres protocolos estándar de autenticación de correo, y explica por qué el reenvío crea una discordancia entre el emisor original, quien retransmite y el dominio visible en el campo «From:». DMARC, por ejemplo, puede ordenarle al servidor receptor que rechace los mensajes que no autentiquen correctamente. Gmail añade además filtros de reputación y antispam.

El segundo intento fue añadir un alias @outlook.com a la misma cuenta, un workaround que Microsoft documentó para un fallo similar con dominios de país. Tampoco resolvió el problema: el motor de reglas de Outlook seguía firmando los reenvíos con el dominio @outlook.in original. El tercer intento consistió en interponer Cloudflare Email Routing como capa intermedia; el cuarto, un Email Worker de Cloudflare que reenviara el mensaje manualmente. Ambas opciones fallaron porque Cloudflare aplica SPF, DKIM, DMARC y ARC antes de entregar el mensaje al Worker.

La solución definitiva fue la menos elegante: mover manualmente todos los correos bancarios de Outlook a Gmail. El artículo cierra con humor quejumbroso: tras invertir más tiempo del deseado en pelearse con la infraestructura de correo, el autor terminó optando por la vía simple.