Validity lanza Heatwave: el blocklist que pone al warmup sintético bajo vigilancia

Validity presentó Heatwave como un Domain Blocklist, o DBL, centrado en dominios de envío vinculados con warmup sintético y con campañas frías activas observadas después. En su comunicado, la empresa afirma que el sistema ya había listado más de un millón de dominios a partir de millones de señales de su Intelligence Network. Es una cifra del proveedor, no una auditoría independiente, y el contador público cambia conforme entran nuevas observaciones.

La precisión importa. Heatwave consulta el dominio que aparece como identidad de envío; no lista direcciones IP, URLs dentro del mensaje ni dominios de firma DKIM. La consulta es exacta: un subdominio no hereda automáticamente el resultado de su dominio principal. Que correo.marca.example aparezca no permite afirmar, por sí solo, que marca.example también está listado.

Validity dice que su señal es usada o evaluada por socios del ecosistema, entre ellos proveedores de buzón, seguridad, listas reputacionales y plataformas de email. Eso tampoco significa que todos bloqueen automáticamente cada dominio de Heatwave. La lista aporta una señal adicional; cada consumidor decide cómo incorporarla. Convertir un comunicado en una supuesta regla universal de Gmail sería añadir marketing justo donde hace falta criterio.

La definición publicada por Heatwave describe redes cerradas de buzones controlados que intercambian mensajes generados, los abren, responden, los marcan como importantes o los sacan de spam. El objetivo es fabricar el historial positivo de un dominio antes de que escriba a destinatarios reales. No es simplemente empezar con pocos correos: la diferencia está en que la interacción no proviene de personas con interés auténtico.

Google recomienda a remitentes aumentar el volumen poco a poco, autenticar el correo, vigilar quejas y evitar picos repentinos. Yahoo publica requisitos semejantes de autenticación y control de spam. Ninguna de esas guías convierte aperturas o respuestas automatizadas entre cuentas controladas en reputación legítima. Un ramp-up operativo administra volumen real; el warmup sintético inventa la conducta que el filtro intenta observar.

Spamhaus adopta una postura más amplia y define el cold email no solicitado y masivo como spam bajo su criterio de Unsolicited Bulk Email. Esa posición no es una ley ni demuestra cómo clasificará cada proveedor un mensaje particular, pero sí muestra hacia dónde se mueve una parte influyente del ecosistema antiabuso: menos paciencia con infraestructura desechable, engagement fabricado y dominios parecidos a una marca creados para escalar envíos.

El comunicado de Validity señala que algunas organizaciones pueden desconocer la actividad porque agencias o subcontratistas operan varias capas lejos del equipo responsable. Una empresa compra “infraestructura administrada”, el proveedor registra dominios similares, conecta buzones y activa una red de warming. El dashboard muestra cuentas listas; nadie del cliente sabe qué comportamiento produjo esa aparente preparación.

Eso convierte la deliverability en un problema de gobierno. Un dominio que imita la marca puede aparecer ante prospectos, empleados, equipos legales y sistemas de seguridad. Si el activo está en la cuenta personal de un contratista o si nadie conserva accesos de registrador y DNS, la empresa tampoco controla renovación, investigación de incidentes ni retiro. La reputación técnica es solo una parte del costo; la atribución pública sigue apuntando a la marca.

La lectura de picos.Ai es directa: ninguna agencia debería crear, calentar o activar un dominio de envío sin autorización registrable del cliente. El inventario debe indicar quién es propietario, quién administra, qué proveedor lo usa y con qué método. “Nos encargamos de todo” es una promesa comercial, no un control.

Según la política de listado, Heatwave combina señales sobre actividad sintética, edad del dominio, infraestructura y características del mensaje. Un puntaje heurístico debe superar su umbral interno. El score público de 1 a 100 es una banda relativa frente a otros dominios listados, se recalcula y no determina por sí mismo la inclusión. Comparar un 70 de esta semana con un 70 del mes pasado no produce una tendencia válida.

Una entrada representa la opinión medida de Validity de que observó el dominio como identidad remitente en correo que llegó a sus fuentes y lo clasificó como infraestructura de cold email. No prueba fraude, no identifica a una persona responsable y no confirma un bloqueo en Gmail u Outlook. También puede existir atribución errónea, suplantación, compromiso o uso no autorizado; por eso hay un proceso de revisión.

El resultado negativo tiene otro límite: NXDOMAIN en la zona de Heatwave solo indica que el nombre exacto no está listado en ese momento. No certifica consentimiento, legitimidad, seguridad ni llegada a inbox. Una consulta reputacional no reemplaza autenticación, calidad de datos, cumplimiento aplicable ni comportamiento real de destinatarios.

Empieza por activos, no por campañas. Reúne el dominio principal, subdominios, dominios secundarios, dominios de tracking, páginas de redirección y cada identidad visible en el campo From. Para cada uno registra el titular de la cuenta del registrador, administrador de DNS, fecha de expiración, proveedor de buzón, usuarios con acceso, plataforma de envío y campañas activas. Si una agencia no entrega la lista, esa ausencia ya es un hallazgo.

Después consulta en Heatwave cada dominio exacto que realmente envía. Separa el resultado exacto de cualquier dominio relacionado que la herramienta muestre; una relación sugerida sirve para investigar, no para declarar propiedad. Cruza la lista con facturas, registros del registrador, Microsoft 365 o Google Workspace, configuraciones de Clay, Instantly o Smartlead y el CRM. Busca activos desconocidos y nombres demasiado parecidos que puedan confundirse con la marca.

Finalmente pregunta a cada proveedor por escrito: ¿usa una red de warming?, ¿quién controla los buzones receptores?, ¿las aperturas y respuestas provienen de personas reales que esperan el correo?, ¿puede apagar la función?, ¿qué dominios creó?, ¿qué ocurre al terminar el contrato? No aceptes “AI deliverability” como explicación técnica. Un modelo puede redactar mensajes; no vuelve auténtica una conversación entre bots.

No saltes de una búsqueda a una declaración pública. Confirma que consultaste el dominio de envío exacto, captura fecha y resultado, identifica al propietario y pausa nuevas activaciones mientras investigas. Revisa si existe warmup sintético, campaña fría activa, uso por un tercero, cuenta comprometida o atribución equivocada. Conserva contratos, logs y cambios de DNS; ayudan tanto a corregir el sistema como a explicar el incidente.

Si existe engagement fabricado, detenerlo es una decisión operativa razonable, pero la política de Heatwave dice que una observación histórica validada no expira solo porque la actividad cese. La clasificación de outreach activo puede cambiar por separado. Validity reserva la eliminación del registro base para casos donde su determinación original fue errónea o estuvo mal atribuida.

Si crees que el listado es incorrecto, la página oficial permite solicitar una revisión con evidencia. Validity publica un plazo típico de dos a cinco días hábiles, no una garantía. Mientras tanto, revisa otras señales: errores SMTP, quejas, autenticación, reputación disponible en Google Postmaster Tools y resultados por proveedor. Salir de una lista no demuestra inbox; permanecer tampoco explica por sí solo cada caída de entrega.

Heatwave no debería iniciar una carrera para esconder mejor el mismo patrón. Registrar más dominios, mover IPs o cambiar plantillas para evadir una señal conserva el problema y añade superficie de riesgo. Si una operación depende de interacciones falsas para que el primer envío real sobreviva, su capacidad aparente está construida sobre una premisa que el ecosistema ya intenta reconocer.

La alternativa exige menos teatro y más sistema: destinatarios pertinentes, base legal revisada para cada mercado, datos con procedencia, volumen gradual, autenticación correcta, salida clara y campañas suficientemente pequeñas para responder y detenerse. El engagement válido llega de personas reales; cuando no llega, el equipo corrige ICP, oferta o canal en vez de programar aplausos automáticos.

picos.Ai puede auditar dominios, proveedores, métodos de warming, accesos, secuencias y señales de reputación antes de escalar. El entregable no es una promesa de inbox. Es un mapa verificable de quién envía en nombre de la empresa, qué comportamiento está autorizado y qué debe apagarse antes de que un tercero lo descubra primero.