Configurar Google Workspace para el correo electrónico con dominio empresarial: la guía completa para administradores

Configurar Google Workspace para un dominio empresarial parece sencillo — te registras, apuntas algunos registros DNS y listo — y entonces el correo empieza a fallar en silencio porque se saltó uno de los pasos menos glamurosos: Gmail nunca llegó a activarse, la clave DKIM nunca se generó, o los registros MX del proveedor antiguo se quedaron ahí compitiendo con los de Google. Esta guía recorre la configuración de administración completa en el orden que Google prevé, con una empresa de ejemplo, Brightpath Consulting (brightpathconsulting.com): verificar el dominio, crear usuarios, cambiar los registros MX, publicar SPF, DKIM y DMARC, activar Gmail correctamente y, por último, conectar Outlook de la forma compatible.

Una nota sobre el alcance: esta guía configura una organización de Google Workspace nueva en un dominio. Si en cambio estás trasladando una empresa existente desde Outlook o Microsoft 365 a Google Workspace, eso es una migración con un orden de operaciones distinto: consulta nuestra guía Migrar Outlook a Google Workspace. Y si solo quieres una cuenta personal @gmail.com dentro de Outlook, es un trabajo distinto y más sencillo, cubierto en Cómo añadir Gmail a Outlook.

Respuesta rápida: Regístrate en Google Workspace y, en la consola de administración de Google, verifica tu dominio con el registro TXT que te da Google (empieza por google-site-verification=). Crea tus usuarios en Directorio → Usuarios y después, en tu registrador, elimina todos los registros MX existentes y añade un único registro MX: smtp.google.com, prioridad 1. Vuelve a la consola de administración y haz clic en Activar Gmail: hasta que lo hagas, el correo no fluye. Publica SPF como el único registro TXT v=spf1 include:_spf.google.com ~all, genera la clave DKIM en Aplicaciones → Google Workspace → Gmail → Autenticar el correo electrónico (un registro TXT en google._domainkey) y haz clic en Iniciar la autenticación, y solo entonces añade DMARC. En Outlook, conéctalo con Google Workspace Sync for Microsoft Outlook (GWSMO), no con ajustes manuales del servidor.

Lo que necesitas antes de empezar

• Acceso de administrador al DNS de tu dominio en tu registrador: la verificación, los MX, SPF, DKIM y DMARC se hacen ahí.
• Los datos de la cuenta de administrador del registro. Una advertencia del propio flujo de registro de Google: usa una dirección de correo de recuperación que no esté dentro del nuevo dominio de Workspace; si alguna vez te quedas fuera, una dirección de recuperación en el mismo dominio al que no puedes acceder no sirve de nada.
• Tu lista de usuarios: nombres y direcciones deseadas. Ten en cuenta que las ediciones de Workspace para empresas tienen un máximo de 300 usuarios; la mayoría de las pequeñas empresas ni se acerca, pero decide el formato de las direcciones (nombre@ frente a nombre.apellido@) antes de empezar, como con cualquier sistema de correo.

Paso 1 — Regístrate y abre la consola de administración

Regístrate en workspace.google.com con el dominio de tu empresa (en nuestro ejemplo, brightpathconsulting.com) y elige el modo de registro con dominio verificado si se ofrece: desbloquea el conjunto completo de funciones. Después abre admin.google.com. Todo en esta guía ocurre en dos lugares: la consola de administración (usuarios, activación de Gmail, DKIM) y el editor de DNS de tu registrador (verificación, MX, SPF, DMARC).

Paso 2 — Verifica tu dominio

La lista de verificación de configuración de la consola de administración empieza con la verificación del dominio. Google te da un registro TXT único para tu organización:

Type:  TXT
Host:  (blank, or @, depending on your registrar)
Value: google-site-verification=8f3kd92jd8s72hd71ks0d92jd8s7
TTL:   3600

Copia el valor de tu propia consola — nunca de un tutorial —, añádelo en tu registrador y haz clic en Verificar en la consola. La verificación puede tardar unos minutos y Google admite hasta 72 horas en los casos lentos. Deja el registro en su sitio después; a diferencia de otras pruebas puntuales, no hace ningún daño y una nueva verificación lo utiliza.

Paso 3 — Crea los usuarios

Ve a Directorio → Usuarios → Añadir un usuario nuevo. Cada nombre de usuario se convierte en un buzón completo en tu dominio — emily@brightpathconsulting.com en nuestro ejemplo — con Gmail, Drive, Calendario y Meet asociados. Crea a todos ahora, asigna contraseñas temporales y exige un cambio en el primer inicio de sesión.

Paso 4 — Cambia los MX a Google y activa Gmail

Este es el paso en el que las configuraciones de Google difieren de todas las demás, por partida doble: el cambio de MX es una sustitución, no una adición, y después hay un clic de activación independiente.

En tu registrador, elimina todos los registros MX existentes y añade exactamente uno:

Type:     MX
Host:     @
Value:    smtp.google.com
Priority: 1

Ese único registro es la configuración completa y actual: Google retiró hace años la antigua lista de cinco registros ASPMX, y las guías que aún muestran ASPMX.L.GOOGLE.COM y sus alternativas están desactualizadas (ese conjunto antiguo sigue resolviendo, pero el registro único es lo que Google prescribe ahora).

Después vuelve a la lista de verificación de configuración de la consola de administración y haz clic en Activar Gmail para tu dominio. Hasta que lo hagas, los registros MX apuntan a Google y Google rechaza el correo amablemente. Es el clic que más se olvida en toda la configuración de Workspace.

Paso 5 — Publica SPF

Type:  TXT
Host:  @
Value: v=spf1 include:_spf.google.com ~all

Copia esa cadena exactamente, incluido el fallo suave ~all del final. El registro que publica Google usa deliberadamente ~all, no el rechazo total -all; «corregirlo» es un error. Y se aplica la regla habitual de SPF: un registro SPF por dominio, así que fusiona cualquier otro remitente en esta línea en lugar de añadir un segundo registro v=spf1.

Paso 6 — Genera DKIM e inicia la autenticación

Google genera tu clave DKIM dentro de la consola de administración; no la creas tú:

1. Ve a Aplicaciones → Google Workspace → Gmail → Autenticar el correo electrónico.
2. Selecciona tu dominio y haz clic en Generar un registro nuevo. Elige la longitud de clave de 2048 bits si tu alojamiento DNS la admite.
3. Google te muestra un registro TXT para publicar. Fíjate en la diferencia con Microsoft 365: el registro DKIM de Google es un registro TXT en el host google._domainkey, no un CNAME.
4. Publícalo en tu registrador, espera a que se propague y después vuelve y haz clic en Iniciar la autenticación. Publicarlo por sí solo no firma nada; el botón sí.

Type:  TXT
Host:  google._domainkey
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkq...(your generated key)

Un detalle de tiempos: si se trata de un Workspace completamente nuevo en el que Gmail se acaba de activar, es posible que Google necesite entre 24 y 72 horas antes de que se pueda generar la clave; ese retraso es normal, no un error.

Paso 7 — Añade DMARC (tras 48 horas de autenticación sin errores)

DMARC va al final, y la propia guía de Google añade una condición: publícalo solo cuando SPF y DKIM lleven autenticando tu correo correctamente al menos 48 horas. Entonces añade un registro TXT:

Type:  TXT
Host:  _dmarc.brightpathconsulting.com
Value: v=DMARC1; p=none; rua=mailto:dmarc@brightpathconsulting.com

Empieza con p=none y lee los informes agregados durante una o dos semanas; después sube la política a quarantine y, por último, a reject. Saltar directamente a reject antes de ver los informes es la manera en que las empresas bloquean sus propias facturas.

Paso 8 — Conecta Outlook con GWSMO (la forma compatible)

Google Workspace es correo empresarial de pago, y el puente compatible de Google hacia Outlook es una herramienta dedicada: Google Workspace Sync for Microsoft Outlook (GWSMO). Descárgala de Google, ejecútala, inicia sesión con la cuenta de Workspace del usuario y creará un perfil de Outlook adecuado que sincroniza correo, calendario y contactos mediante el propio motor de sincronización de Google.

No escribas a mano nombres de servidor IMAP para una cuenta de Workspace en Outlook, y no reutilices las instrucciones del Gmail personal: las cuentas de Workspace son cuentas administradas, y los ajustes de seguridad de tu administrador (incluido si IMAP está siquiera activado) rigen lo que funciona. Si el usuario simplemente prefiere la interfaz web de Gmail, también está bien; pero para Outlook, GWSMO es la ruta que Google admite y la que mantiene calendarios y contactos sincronizados.

Una última comprobación de extremo a extremo: envía desde el correo web de Gmail a una dirección externa y responde; después envía desde Outlook y confirma que aparece en la carpeta Enviados de Gmail. Que ambas direcciones sean visibles en ambos sitios significa que el correo, la sincronización y la autenticación están activos.

Si el correo no fluye: las tres causas habituales

• No llega nada a los buzones nuevos: Gmail nunca se activó en la consola de administración (Paso 4), o un registro MX del proveedor antiguo sobrevivió junto al de Google y está ganando por prioridad.
• El correo llega, pero aterriza en spam en otras empresas: el registro DKIM está publicado pero nunca se hizo clic en Iniciar la autenticación, o SPF se «corrigió» a -all o se duplicó en dos registros.
• Outlook no se conecta: estás intentando ajustes IMAP manuales en una cuenta administrada. Instala GWSMO y deja que cree el perfil; si sigue negándose, consulta con tu administrador si el acceso IMAP está habilitado para tu organización.

Para problemas de Outlook con códigos de error concretos una vez que todo esté funcionando, consulta nuestro centro de códigos de error.

Cómo mantener la configuración en buen estado

• Mantén exactamente un registro MX y un registro SPF. Toda limpieza empieza ahí.
• Completa la subida de DMARC de p=none a p=reject durante el primer mes: es lo que impide que extraños envíen correo que afirma proceder de tu dominio.
• Crea ahora los hábitos de altas y bajas: añade usuarios en la consola de administración el mismo día en que alguien empieza, y suspende las cuentas el día en que alguien se va, para que las licencias y los accesos nunca se descontrolen.
• Mantén el correo de recuperación fuera del dominio (la regla del Paso 0): es tu última vía de regreso a la consola de administración.

Preguntas frecuentes

¿Cuánto tarda una configuración de Google Workspace desde el registro hasta tener correo funcionando?

Entre 45 y 90 minutos de trabajo, más la propagación de DNS. La verificación del dominio suele tardar minutos; la activación de Gmail sigue al cambio de MX; DKIM puede retrasarse hasta 24–72 horas en una organización completamente nueva antes de que Google te deje generar la clave, así que planifica la autenticación a lo largo de los dos primeros días en lugar de la primera hora.

¿Cuáles son los registros MX correctos para Google Workspace ahora?

Un único registro — smtp.google.com con prioridad 1 — con todos los demás registros MX eliminados. Las guías antiguas que muestran cinco registros (ASPMX.L.GOOGLE.COM más cuatro servidores ALT) describen la configuración retirada; la documentación actual de Google prescribe el registro único, y se encarga de la entrega para toda la organización.

¿Por qué mi registro SPF termina en ~all en lugar de -all?

Porque ese es el registro que publica Google: v=spf1 include:_spf.google.com ~all. La tilde es un fallo suave: los servidores receptores tratan a los remitentes no autorizados con sospecha en lugar de rechazarlos de plano. Cambiarla a -all sin entender tus otros servicios de envío (herramientas de facturación, mesas de ayuda) puede hacer que se rechace correo legítimo.

DKIM para Google Workspace es un registro TXT; creía que DKIM usaba CNAME

Ambos existen, y por eso los administradores los confunden. Microsoft 365 usa registros CNAME para DKIM; Google Workspace usa un registro TXT que Google genera por ti, publicado en el host google._domainkey. Genéralo en la consola de administración (Aplicaciones → Google Workspace → Gmail → Autenticar el correo electrónico), publícalo y después haz clic en Iniciar la autenticación.

¿Puedo añadir sin más mi cuenta de Workspace a Outlook con ajustes IMAP?

A veces parece funcionar, pero no es la ruta compatible y se salta la sincronización de calendario y contactos. La integración con Outlook que Google admite para Workspace es GWSMO (Google Workspace Sync for Microsoft Outlook), que crea y mantiene el propio perfil de Outlook. Las cuentas personales @gmail.com son un caso distinto: esas sí pertenecen a Outlook como una cuenta estándar, como se explica en nuestra guía de Gmail en Outlook.

Mi dominio ya tiene correo con otro proveedor. ¿Puedo seguir esta guía?

Solo para los conceptos: los pasos de registro, verificación y autenticación son los mismos, pero el cambio de MX se convierte en un traspaso de migración planificado (buzones, historial, alias y tiempos importan). Sigue nuestra guía específica migrar Outlook a Google Workspace para que el correo existente de nadie quede varado en el proveedor antiguo.

¿Activar Gmail interrumpe algo?

Si el dominio es completamente nuevo, no. Si el dominio ya recibe correo en otro sitio, el cambio de MX es el punto de interrupción: el correo sigue a los MX en cuestión de horas, así que cambia solo cuando los buzones de Workspace y la activación estén listos, y mantén el servicio antiguo funcionando unos días mientras el DNS se asienta.

¿Estás configurando tu propio Workspace y te has quedado atascado en un paso — la verificación lleva un día pendiente, la activación de Gmail aparece atenuada, DKIM se niega a generarse? Contáctanos en servicedesk@howtofixerroronline.com o a través de nuestra página de contacto y dinos a qué paso llegaste y el mensaje exacto que muestra la consola. Cuéntanos el mensaje, nunca tu contraseña: jamás te la pediremos.