Una web no debería poner el email del visitante en From salvo que esté autorizada a enviar por ese dominio. Usa una identidad remitente controlada por la web y coloca al visitante en Reply-To. Mantienes autenticación y el equipo puede responder con normalidad.
Inspecciona headers finales
Captura From, Reply-To, Return-Path, DKIM d= y smtp.mailfrom de un mensaje real.
Elige un From autenticado
Usa buzón o dominio remitente configurado en SMTP/API y cubierto por SPF/DKIM cuando corresponda.
Deja la identidad del visitante en Reply-To
Sanea la dirección enviada y úsala para responder, no como autorización para enviar desde ese dominio.
Revisa mapeos del plugin
Tags dinámicos pueden rellenar varios campos. Comprueba que {email} no termine por error en From.
Prueba alineación DMARC
El proveedor puede aceptar y Gmail/Microsoft filtrar después porque From visible y autenticación no alinean.
Define una política de remitente
Documenta el From transaccional del sitio para que nuevos formularios, WooCommerce y cuentas no vuelvan a falsear identidades.
Valida headers con la guía DKIM y sigue el handoff con logs SMTP seguros.
Crea un mapa de política de remitentes del sitio
Lista cada fuente de correo WordPress —formularios, cuentas, ecommerce, CRM— y asigna un From aprobado más el transporte permitido. Documenta dónde Reply-To puede contener datos del visitante. Un único mapa evita que un plugin nuevo vuelva a introducir un From no autenticado después de haber arreglado el formulario principal.