Pruebas de emails de Amazon SES

Comprueba primero el sandbox, porque determina si esto funcionará. Una cuenta nueva de SES comienza en el sandbox en cada Region y, mientras permanece allí, SES solo entrega mensajes a direcciones verificadas, dominios verificados y su propio simulador de buzón. Además, el límite es de 200 mensajes cada 24 horas y uno por segundo.

Verificar una dirección de Email Spam Tester no te permitirá evitarlo. SES verifica a un destinatario enviándole un email con un enlace y, como nuestras direcciones aceptan exactamente un mensaje antes de cerrarse, el email de verificación agotaría la dirección. Por tanto, en la práctica necesitas acceso de producción en la Region desde la que envías. AWS promete una respuesta inicial a esa solicitud en un plazo de 96 horas.

Como el estado del sandbox se aplica por Region, una cuenta que esté en producción en eu-west-1 puede seguir en el sandbox en us-east-1. Las identidades también se aplican por Region, cada una con sus propios registros DKIM.

Obtén una dirección y envía un mensaje

Abre email-spam-tester.com y copia la dirección que muestra. No requiere cuenta ni clave de API y tiene el formato test- seguido de veinte caracteres en t.email-spam-tester.com. Tienes una hora y un mensaje, así que prepara el comando de envío antes de obtener la dirección.

El envío más sencillo se hace con la CLI, adaptado del ejemplo de AWS en la página sobre inquilinos de SES, sin los parámetros de inquilino y conjunto de configuración:

aws sesv2 send-email \
  --from-email-address "sender@yourdomain.com" \
  --destination "ToAddresses=test-xxxxxxxxxxxxxxxxxxxx@t.email-spam-tester.com" \
  --content "Simple={Subject={Data='Test Subject',Charset=utf-8},Body={Text={Data='Test email body',Charset=utf-8}}}"

La dirección From debe ser una identidad verificada, incluso en producción. Un cuerpo de solo texto como este basta para probar la autenticación y la IP, pero no aporta casi nada sobre el contenido. Para obtener un veredicto real, envía el mensaje que tu aplicación envía realmente, con su parte HTML y sus encabezados. Usa también la misma ruta de código, ya sea send_email de boto3, una biblioteca SMTP u otra opción. Si los envíos de producción usan un conjunto de configuración, añade también --configuration-set-name aquí para que la prueba pase por la misma configuración.

La prueba de ubicación en bandeja de entrada se integra en el mismo comando. Sus bandejas de entrada de proveedores se añaden a ToAddresses junto a la dirección de prueba, y su marcador se añade a los datos de Subject. Una sola llamada genera dos informes. El segundo indica la carpeta en la que llegó el mensaje en Gmail, Outlook, Yahoo y otros proveedores. Esas bandejas tampoco están verificadas, por lo que esto también requiere acceso de producción.

También puedes hacerlo desde la consola. Abre Configuration > Identities, haz clic en la identidad y elige Send test email. Selecciona Raw si quieres pegar un mensaje MIME completo con tus propios encabezados. AWS describe la consola como una herramienta que normalmente solo se usa para emails de prueba, y la documentación no indica ningún prefijo de prueba ni ningún otro cambio en el mensaje. En el entorno aislado, el campo Custom recipient requiere una dirección verificada, lo que te devuelve al problema anterior.

Cómo aparece una identidad de SES nueva en el informe

DKIM. Easy DKIM es la opción predeterminada para las identidades de dominio y firma cada mensaje con una clave de 2048 bits. La configuración consta de tres registros CNAME llamados token._domainkey.yourdomain.com que apuntan a token.dkim.<region>.amazonses.com. Si la comprobación de DKIM falla, revisa primero dos cosas: si DNS ya se ha propagado (AWS indica que puede tardar hasta 72 horas) y si tu proveedor de DNS añadió el dominio al nombre y creó token._domainkey.yourdomain.com.yourdomain.com. Con BYODKIM, publicas en su lugar un registro TXT en tu propio selector. Durante el cambio entre ambos, SES puede enviar sin ninguna firma, lo que el informe marca como DKIM ausente. El comprobador de DKIM usa el token como selector.

SPF y la ruta de retorno. De forma predeterminada, SES usa un subdominio de amazonses.com como MAIL FROM. SPF se valida, pero para amazonses.com, por lo que el informe muestra SPF como no alineado con tu remitente. Cuando DKIM está alineado, esto tiene poca penalización (2 puntos en la escala de 100 puntos en lugar de 5), y DMARC sigue validándose mediante DKIM. Para alinear también SPF, configura un subdominio MAIL FROM personalizado con exactamente un registro MX, 10 feedback-smtp.<region>.amazonses.com, y un registro TXT v=spf1 include:amazonses.com ~all. No elijas un subdominio que reciba correo y no incluyas aspf=s en tu registro DMARC, porque AWS indica que la alineación de SPF con SES no funciona con una política SPF estricta.

DMARC. SES no publica ningún registro por ti. El ejemplo de AWS es v=DMARC1;p=quarantine;rua=mailto:my_dmarc_report@example.com. Si todavía nadie revisa tus informes DMARC, yo empezaría con p=none y endurecería la política más adelante. El comprobador de DMARC muestra lo que tienes, y DMARC fail explica los fallos más habituales.

List-Unsubscribe. SES añade List-Unsubscribe y List-Unsubscribe-Post solo cuando envías con ListManagementOptions configurado para una lista de contactos y un tema. Incluso entonces, solo lo hace para mensajes con un único destinatario y con Easy DKIM, y SES sobrescribe cualquier cabecera de cancelación de suscripción que hayas configurado tú mismo. Todo lo demás se envía sin cabeceras de cancelación de suscripción, lo que, en el caso de un boletín, implica que fallarán la comprobación de List-Unsubscribe y la comprobación de cancelación con un clic, a menos que las añadas tú mismo. Desde marzo de 2024, la API v2 acepta cabeceras personalizadas sin MIME sin procesar. Adaptadas de la publicación de AWS sobre la cancelación con un clic, las dos cabeceras tienen este aspecto:

"Headers": [
  { "Name": "List-Unsubscribe",
    "Value": "<https://yourdomain.com/unsub?address=x&topic=x>, <mailto:unsubscribe@yourdomain.com>" },
  { "Name": "List-Unsubscribe-Post",
    "Value": "List-Unsubscribe=One-Click" }
]

Después, tu endpoint debe procesar la solicitud POST. Los restablecimientos de contraseña y los recibos sin cabeceras de lista son un caso distinto, y para ellos el informe marca el grupo de remitentes masivos como omitido. Encontrarás más información sobre la cabecera en nuestra página sobre List-Unsubscribe.

IPs y listas de bloqueo

Las cuentas nuevas envían desde IPs compartidas con otros usuarios de SES, y AWS recomienda seguir usándolas salvo que tu volumen sea grande y regular. El informe consulta 21 listas de bloqueo para la IP de envío. En las direcciones compartidas, una coincidencia corresponde al grupo de IPs. Las IPs dedicadas pueden ser Standard, que debes calentar manualmente, o Managed, donde SES se encarga del calentamiento. En ese caso, cualquier inclusión en una lista está vinculada a tus propios envíos. Puedes introducir cualquier IP que encuentres en la pestaña Headers directamente en el comprobador de listas de bloqueo.

AWS también supervisa tu cuenta. Sus preguntas frecuentes sobre medidas de cumplimiento indican que debes hacer pruebas con direcciones reales que puedan recibir correo, o con el simulador, para que los destinatarios inventados no aumenten los rebotes. AWS somete una cuenta a revisión cuando alcanza una tasa de rebotes del 5 % o una tasa de quejas del 0,1 %.

El plan de corrección del final incluye hasta ocho cambios, cada uno con el registro DNS que debes copiar cuando corresponda. Los puntos que aparecen junto a cada corrección son las penalizaciones actuales de las comprobaciones afectadas. El modelo selecciona y explica las correcciones. No calcula su precio. Si no entiendes el nombre de alguna comprobación, la documentación explica cada una de las 42.