Un subdominio con la reputación quemada no es un problema aislado. Los filtros antispam y las listas de bloqueo de dominio (DNSBL) evalúan el dominio raíz cuando reciben correo desde cualquier subdominio, y esa herencia funciona en las dos direcciones: un subdominio contaminado arrastra al raíz, y un raíz limpio puede verse salpicado por la actividad de una campaña de enlaces mal montada. La conclusión práctica es incómoda para quien gestiona varias campañas a la vez: si usas subdominios catch-all para GSA SER, RankerX o Xrumer, necesitas separar el dominio buffer del dominio money antes de que el primero queme al segundo.
La herencia de reputación entre subdominios y dominio raíz
El mecanismo técnico es menos intuitivo de lo que parece. Cuando un servidor de correo recibe un mensaje, comprueba la IP de envío contra listas como Spamhaus, Barracuda o SpamCop, pero también resuelve el dominio del remitente y consulta su registro DNS. Muchas DNSBL de dominio no distinguen entre midominio.com y campaña1.midominio.com: registran la parte registrable y aplican el veredicto al conjunto. Si un bot de registro deja 4.000 cuentas con direcciones catch-all en un subdominio y esas direcciones empiezan a recibir rebotes o reportes de abuso, la entrada en la lista apunta al dominio raíz, no al subdominio.
El efecto se nota primero en la recepción de emails. Los proveedores grandes (Google, Microsoft, Yahoo) aplican sus propios filtros de reputación basados en el dominio de envío y en el historial de la IP, pero la lista DNSBL actúa como una capa previa que puede rechazar la conexión SMTP antes de que el filtro de contenido entre en juego. Un dominio raíz listado en dos o tres DNSBL de referencia pierde capacidad de entrega en cuestión de horas. Y recuperar la salida de una lista no es automático: depende del operador, del motivo del listado y del tiempo que tarde en caducar la entrada.
La herencia también funciona hacia arriba en el sentido reputacional. Un dominio raíz con historial limpio y años de antigüedad transmite parte de esa confianza a un subdominio nuevo, lo que explica por qué los link builders prefieren crear subdominios bajo dominios ya establecidos en lugar de comprar dominios nuevos. El problema es que esa misma confianza se convierte en un multiplicador del daño: cuanto mejor es la reputación del raíz, más caro resulta contaminarlo.
Cómo se propaga el daño en la práctica
Un caso típico: campaña de enlaces con 200 subdominios catch-all bajo el mismo dominio raíz. Cada subdominio recibe correo de scrapers, bots de registro y verificaciones automáticas. Las direcciones son ilimitadas y la bandeja unificada del proveedor recoge todo. Al cabo de dos semanas, un subdominio empieza a generar rebotes masivos porque los bots envían a direcciones que ya no existen o porque el propio subdominio se usa para enviar correo no solicitado desde un formulario comprometido. El operador de la DNSBL detecta el patrón, consulta el registro SOA y bloquea el dominio registrable completo.
El resultado es que el dominio money, que no tenía nada que ver con la campaña, aparece listado. Los correos transaccionales de la web principal rebotan. El formulario de contacto deja de entregar. El soporte al cliente empieza a recibir quejas de clientes que no reciben los emails de confirmación. Y todo por un subdominio que se creó como herramienta desechable. AllMail mitiga parte del riesgo porque monitorea el dominio contra listas negras DNSBL y ofrece soporte de reemplazo de dominio cuando la situación se degrada, pero el reemplazo no evita el daño al raíz si el subdominio cuelga del dominio money.
El dominio buffer como cortafuegos reputacional
La solución estructural es separar el dominio que usas para campañas de enlaces del dominio que usas para tu negocio. El dominio buffer es un dominio independiente, registrado solo para alojar subdominios catch-all de campaña. Si un subdominio del buffer se quema, la DNSBL lista el buffer. Tu dominio money queda fuera del registro DNSBL porque nunca compartió la parte registrable. El coste de esta separación es mínimo comparado con el coste de recuperar un dominio money listado: un dominio nuevo cuesta entre 8 y 15 dólares al año, y el plan de subdominio de AllMail cuesta $0.49 al mes.
La arquitectura recomendada es de tres capas. El dominio money aloja la web, el correo transaccional y las cuentas de cliente. El dominio buffer aloja los subdominios catch-all de campaña. Y un tercer nivel, opcional, aloja los subdominios de prueba o de campañas de alto riesgo que puedas necesitar rotar con frecuencia. https://allmail.one/es/ incluye más detalles al respecto. Cada capa tiene su propio registro DNS, su propio historial y su propio destino en las DNSBL. Si el buffer se quema, lo reemplazas sin tocar el money. Si el money se quema, tienes un problema serio que afecta a la facturación.
Qué mirar al elegir el proveedor del dominio buffer
El proveedor del buffer no necesita ser el mismo que el del dominio money. De hecho, es mejor que no lo sea, para no compartir infraestructura de correo ni rangos de IP. AllMail ofrece correo catch-all para GSA SER y link builders con acceso POP3 e IMAP, lo que permite conectar el buffer a Thunderbird o a cualquier cliente que ya uses para revisar la bandeja unificada. El catch-all recibe cualquier email enviado a cualquier dirección del dominio, así que los bots de registro y los scrapers pueden dejar sus verificaciones sin que tengas que crear buzones uno a uno.
La parte que suele pasarse por alto es el antifraude de registro. AllMail rechaza nombres de dominio poco creíbles, lo que reduce el riesgo de que un atacante registre un dominio similar al tuyo y lo use para campañas que contaminen la reputación compartida. El servicio no requiere KYC ni verificación de identidad, y acepta pagos con USDT y USDC en TRC-20, BEP-20 o Polygon. Para quien gestiona campañas con identidad separada, la combinación de pago en stablecoin y ausencia de KYC elimina el rastro entre la cuenta de correo y la identidad personal.
La prueba gratuita dura 3 días, suficiente para comprobar la entrega, el acceso POP3 e IMAP y el comportamiento del catch-all con un volumen real de correo de bots. Si el buffer va a recibir decenas de miles de mensajes al día, conviene medir la latencia de recepción y la tasa de falsos positivos del filtro antes de comprometerte con el plan mensual.
Operación diaria y rotación del buffer
Un buffer no es un activo permanente. Es un consumible que se rota cuando la reputación se degrada o cuando una campaña termina. La señal para rotar es la aparición en una DNSBL de dominio, pero también lo es un aumento anómalo de rebotes, un pico de correo no solicitado en la bandeja unificada o una caída en la tasa de entrega de las verificaciones. AllMail monitorea el dominio contra listas negras DNSBL, lo que da visibilidad temprana: si el buffer aparece listado, sabes que toca rotar antes de que el daño se extienda a otros subdominios del mismo dominio.
La rotación implica tres pasos. Primero, dar de baja los subdominios activos del buffer quemado y redirigir las campañas al buffer nuevo. Segundo, mantener el buffer viejo en modo pasivo durante un par de semanas para recoger el correo residual y confirmar que no quedan flujos activos. Tercero, solicitar el reemplazo de dominio si el proveedor lo ofrece, o registrar uno nuevo si no. AllMail ofrece soporte de reemplazo de dominio, lo que ahorra el paso manual de migrar la configuración de catch-all, POP3 e IMAP al dominio nuevo.
El coste operativo de esta rotación es bajo si la planificas desde el principio. Los errores caros vienen de mezclar capas: usar el dominio money para una campaña “solo un par de semanas”, o crear un subdominio de prueba bajo el raíz porque es más rápido que registrar un buffer. En ambos casos, el ahorro inicial se paga con creces cuando la DNSBL lista el dominio que factura. La separación entre buffer y money no es una precaución teórica: es la diferencia entre perder un dominio desechable y perder el negocio.
La disciplina que funciona es tratar cada dominio buffer como una unidad de riesgo independiente. Un buffer por campaña o por tipo de herramienta (GSA SER, RankerX, Xrumer), un registro DNS propio, un proveedor de correo con catch-all y POP3/IMAP, y una rutina de monitoreo DNSBL semanal. Si un buffer se quema, lo sustituyes y sigues. El dominio money no se entera. Esa es la única forma de escalar campañas de enlaces sin poner en riesgo la infraestructura de correo que sostiene el negocio.