Inventario de dominios para cold email: controla lo que agencias y proveedores usan en tu nombre

Muchas operaciones documentan nombre@dominio dentro del sender y dan por resuelta la infraestructura. La lista no explica quién compró el dominio, en qué cuenta vive, quién modifica DNS, qué proveedor creó los buzones, cuándo vence ni qué pasa cuando termina la relación con la agencia. Es suficiente para enviar hoy y casi inútil para responder un incidente mañana.

Un dominio de outbound puede tocar marca, identidad, deliverability, datos personales, contratos y continuidad comercial. También puede recibir replies, bajas y referencias aunque la campaña ya se haya detenido. Tratarlo como consumible oculta dependencias: el CRM cree que una conversación sigue abierta mientras el dominio vence o un contratista conserva el único acceso administrativo.

La meta del inventario no es coleccionar campos. Es poder responder cinco preguntas sin convocar una investigación: ¿qué activos existen?, ¿quién los autorizó?, ¿quién los controla?, ¿qué flujo depende de cada uno? y ¿cómo se retiran de forma segura?

Incluye el dominio corporativo principal aunque no envíe prospección; sirve como referencia para detectar nombres parecidos y proteger usos que nunca deberían mezclarse. Añade cada dominio secundario, subdominio, dominio visible en el From, dominio de retorno, DKIM, tracking, landing o redirección y cualquier activo registrado por una agencia. No todos tienen la misma función, pero todos necesitan dueño.

Distingue dominio principal, subdominio y dominio secundario en vez de llamarlos “dominios alternos”. Google explica que, para identificar remitentes masivos, agrega mensajes enviados desde subdominios bajo el mismo dominio principal. Eso no demuestra que cada señal reputacional se comparta de la misma manera ni que comprar otro dominio garantice aislamiento; sí demuestra que la arquitectura no puede diseñarse a partir de una intuición sobre puntos y guiones.

Separa también identidad de envío y tracking. Heatwave, por ejemplo, documenta que consulta el dominio remitente exacto, no URLs ni dominios DKIM. Otras listas y proveedores observan superficies diferentes. El inventario debe mapearlas, no asumir que revisar una sola caja cubre todo el sistema.

Para cada activo registra: nombre exacto; tipo; marca relacionada; propósito aprobado; registrador; cuenta propietaria; contacto de recuperación; nameservers; administrador de DNS; proveedor de correo; plataforma de envío; identidades From; campañas y regiones; owner interno; proveedor externo; fecha de alta, expiración y renovación; estado; y fecha de última revisión. Añade enlaces hacia evidencia de SPF, DKIM y DMARC sin volver esta hoja otra guía de autenticación.

Guarda también autorización y ciclo de vida: quién aprobó el nombre, ticket o contrato, fecha de activación, dependencias, plan de pausa, retención de logs y criterio de retiro. Un campo llamado descubierto_por ayuda cuando aparece un dominio desconocido en una factura, un DNS o una consulta reputacional. Conocido no debe confundirse con autorizado.

No almacenes contraseñas, recovery codes, tokens ni secretos en el inventario. Registra el sistema seguro donde viven y los roles con acceso. La hoja debe ayudar a encontrar el control, no convertirse en una llave maestra enviada por Slack cada vez que alguien pregunta quién administra DNS.

Como regla de gobierno propuesta por picos.Ai, la organización debería conservar la titularidad del registrador y los accesos de recuperación de los dominios que representan su marca. La agencia puede recibir un rol administrativo limitado para ejecutar DNS, buzones o campañas, pero no debería ser la única persona capaz de renovar, transferir o apagar el activo.

Antes de registrar un nombre, revisa similitud con la marca, necesidad real, país, audiencia y función. Evita sustituciones diseñadas para confundir al destinatario —letras cambiadas, guiones oportunistas o terminaciones que parecen oficiales—. Un dominio secundario puede separar una operación autorizada; no debe simular una identidad que el equipo legal, de marca o de seguridad nunca aprobó.

El contrato o alcance de trabajo debe enumerar quién puede crear activos, qué métodos de warmup están permitidos, qué herramientas pueden conectarse, cómo se reportan incidentes y cuánto tarda el handoff al terminar. Si el proveedor usa subcontratistas, esa cadena también debe quedar visible. Delegar la ejecución no equivale a delegar la responsabilidad de saber qué existe.

Asigna un domain_id estable y úsalo en inboxes, campañas, webhooks y CRM. El registro debe permitir recorrer la cadena desde un dominio hasta sus mensajes, replies, bajas, rebotes, reuniones y oportunidades. Sin esa relación, pausar un activo puede dejar respuestas fuera del CRM o mantener secuencias vivas desde otra plataforma.

Define una función principal por activo: correo corporativo, prospección, transaccional, tracking o contenido. Yahoo recomienda separar tipos de correo por IP o dominio DKIM para evitar que una corriente afecte a otra; la implementación exacta depende del proveedor. El inventario no configura esa separación, pero sí evita que marketing y outbound reutilicen un activo sin conocer su propósito.

Añade dependencias hacia Clay, Instantly, Smartlead, Google Workspace, Microsoft 365, n8n, verificadores, páginas y CRM. Para cada conexión registra owner, alcance y ruta de revocación. Si cambiar un dominio rompe siete automatizaciones invisibles, el problema no es que el inventario tenga demasiadas columnas; es que llegó después de la arquitectura.

Cada semana, compara dominios activos contra plataformas de envío, altas de buzones, campañas y cambios recientes de DNS. Revisa expiraciones cercanas, fallas de auto-renew, accesos sin owner, proveedores nuevos y activos creados fuera del proceso. Una diferencia debe abrir un ticket con responsable y fecha, no terminar como comentario amarillo en una hoja.

Cada mes, valida una muestra más profunda: control del registrador, recuperación, MFA donde el proveedor la soporte, facturación, nameservers, estado de autenticación, páginas asociadas y consultas reputacionales relevantes. Heatwave puede ser una de esas señales para dominios de envío; Google Postmaster Tools y errores SMTP aportan otras. Ninguna consulta aislada certifica salud.

Mide cobertura, no vanidad: porcentaje de dominios activos con owner interno, titularidad confirmada, propósito, fecha de expiración, dependencias y última revisión; número de activos desconocidos; tiempo para revocar un proveedor; y replies pendientes durante una pausa. Para activos en producción, la expectativa interna razonable es cobertura completa. No existe un porcentaje mágico que vuelva aceptable desconocer quién posee el dominio restante.

El offboarding empieza antes de apagar DNS. Detén campañas y nuevos enrolamientos; exporta estado, replies, bajas, rebotes y logs; reconcilia el CRM; y confirma que ninguna secuencia seguirá enviando desde otra cuenta. Conserva una ruta atendida para respuestas tardías durante el periodo definido por la organización y sus obligaciones aplicables.

Después transfiere o confirma titularidad, elimina usuarios y apps del proveedor, revoca OAuth y API keys, rota secretos compartidos y documenta el último cambio. Revisa automatizaciones, webhooks, tracking y páginas que todavía apunten al activo. Una contraseña cambiada no revoca por sí sola todos los tokens; cada integración necesita su propio cierre.

Finalmente cambia el estado a retirado, registra fecha, razón, evidencia y políticas de retención. No liberes un dominio parecido a la marca por simple limpieza de costos sin revisar riesgo de reutilización o suplantación. La decisión sobre mantenerlo registrado pertenece a marca, seguridad y negocio, no a una fórmula universal de deliverability.

Dominio desconocido: valida propiedad y uso sin asumir que pertenece a la empresa, preserva evidencia, pregunta a proveedores y seguridad, y pausa cualquier automatización confirmada hasta obtener autorización. Dominio listado: confirma la coincidencia exacta, identifica actividad y tercero responsable, detén engagement fabricado y usa el proceso de revisión solo si existe evidencia de error o atribución incorrecta.

Dominio vencido o fuera de control: pausa campañas, protege replies y supresiones, escala al registrador mediante el owner registrado y evita recrear buzones en otro activo como si nada hubiera pasado. Migrar envíos sin reconciliar estado puede repetir contactos, perder bajas y fragmentar conversaciones.

En los tres casos, el criterio de reactivación debe estar escrito: control recuperado, actividad autorizada, DNS y autenticación verificados, accesos correctos, integraciones probadas, supresiones sincronizadas y owner disponible. Recibir HTTP 200 o ver el dominio de nuevo en el sender no demuestra continuidad comercial.

Día uno: exporta activos desde registradores, DNS, Google Workspace o Microsoft 365 y plataformas outbound. Día dos: normaliza nombres y asigna un domain_id. Día tres: entrevista a marketing, ventas, RevOps, IT, seguridad y agencias para resolver propietarios, propósitos y dominios desconocidos. Día cuatro: cruza campañas, inboxes, replies, supresiones y renovaciones.

Día cinco: clasifica cada activo como aprobado, por corregir, por transferir, en investigación o por retirar. Define owner, fecha y criterio de cierre. No intentes reparar autenticación, migrar proveedores y rediseñar capacidad dentro de la misma hoja; enlaza esos trabajos a sus runbooks y conserva el inventario como fuente de verdad del ciclo de vida.

picos.Ai puede construir ese registro, mapearlo con Clay, Instantly, Smartlead y el CRM, y convertir hallazgos en un plan de control y pruebas. El resultado no es una colección más ordenada de dominios. Es la capacidad de demostrar quién envía en nombre de la empresa y detener una parte del sistema sin perder la memoria del pipeline.