SendGrid se autentica mejor con autenticación de dominio (CNAME), no con un include SPF simple. En SendGrid, configura la autenticación de remitente para tu dominio y publica los registros CNAME que genera (para el return-path y los selectores DKIM s1/s2). Esto da SPF y DKIM alineados para que el correo pase DMARC.
La autenticación de remitente de SendGrid publica un return-path con tu marca y DKIM bajo tu propio dominio, que es lo que necesita la alineación DMARC. El antiguo include:sendgrid.net por sí solo autentica el dominio de SendGrid, no el tuyo, así que SPF puede pasar mientras DMARC falla.
En SendGrid: Settings → Sender Authentication → Authenticate Your Domain. Añade los 3+ registros CNAME (p. ej. em1234, s1._domainkey, s2._domainkey) a tu DNS y pulsa Verify.
Después de la publicación:
$ dig CNAME s1._domainkey.yourdomain.com +shortComprueba tu registro SPF ahora
Abrir el verificador SPF gratuito →Si usas la autenticación de dominio de SendGrid (recomendado), no añades el include compartido: el return-path CNAME gestiona el SPF alineado.
Para poder rotar claves sin que edites el DNS: el CNAME apunta a registros gestionados por SendGrid.
