SPF, DKIM y DMARC: así evita que se suplante su identidad por correo

Módulo 4: Correo electrónico, sitio web y dominio · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar cómo SPF, DKIM y DMARC combaten juntos el uso indebido de su dominio, dónde está su límite, y podrá comprobar y evaluar el estado de su propio dominio.
Conceptos clave: suplantación (spoofing), SPF, DKIM, DMARC, alineación, política none / quarantine / reject, informes DMARC, null MX, dominio similar (lookalike)

Por qué este es un tema de seguridad

En el módulo 1 vio cómo funciona el fraude de facturas: un cliente recibe un correo "de" factuur@example.com con un nuevo IBAN. Si su dominio no está protegido, un estafador no necesita hackear nada para lograrlo. El correo electrónico se diseñó en los años ochenta sin ningún control sobre el remitente. Cualquier servidor de correo del mundo puede enviar un mensaje con su dirección en el campo "De:". Esto se llama suplantación (spoofing).

En ese caso, la víctima no es usted, sino su cliente o proveedor. Aun así, es su nombre el que queda dañado, y a menudo es su teléfono el que suena. Por eso la protección de su dominio de correo pertenece a un curso de seguridad, y no solo al apartado de "conseguir que el correo llegue".

Tres registros DNS hacen posible, en conjunto, que los destinatarios reconozcan y rechacen el correo falso enviado en su nombre: SPF, DKIM y DMARC. En esta lección aprenderá qué hacen juntos, qué no hacen y cómo evaluar su propio dominio. Los detalles técnicos (la estructura de cada registro, las trampas al configurarlos) están en el curso de DNS, lecciones 4.3, 4.4 y 4.5, y próximamente en el curso Correo electrónico en orden (en desarrollo).

Tres comprobaciones, una sola pregunta

La idea clave es esta: SPF y DKIM por sí solos no son suficientes. Un estafador puede enviar correo que pase perfectamente la comprobación SPF para su propio dominio y esté firmado correctamente por su propio dominio, mientras que en el campo "De:" aparece info@example.com. Solo DMARC establece la relación con la dirección que ve su cliente. Y solo DMARC indica al destinatario qué debe hacer si algo no cuadra.

El destinatario anota el resultado en los encabezados del correo. En la lección 3.3 aprendió a leerlos. Un correo falso enviado en su nombre puede aparecer así en el buzón del destinatario:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF y DKIM superan la comprobación, pero para otro dominio. DMARC falla, y como la política de example.com está en reject, el destinatario rechaza el correo.

Las tres posiciones de política de DMARC

Muchas empresas se quedan durante años en p=none. Es comprensible, porque es seguro para su propio correo, pero no es un punto final. Con p=none tiene una alarma que suena pero no cierra la puerta con llave.

El orden correcto

Una política demasiado estricta en un dominio del que no se conocen todos los remitentes hace que desaparezcan sus propias facturas o boletines. Una política demasiado laxa deja vía libre a los estafadores. El orden que funciona para casi todo el mundo es el siguiente:

1. Haga una lista de todo lo que envía correo en nombre de su dominio. Su proveedor de correo, pero también su sitio web (formulario de contacto, tienda online), su programa de contabilidad, su servicio de boletines, su sistema de citas. Esto es lo que más a menudo se olvida.
2. Ponga en orden SPF: exactamente un registro, con todos los remitentes incluidos, terminando en ~all (opción segura por defecto) o -all (si tiene la certeza de que la lista es correcta). Nunca +all.
3. Active DKIM para cada servicio que lo admita, con exactamente los registros que indique el servicio.
4. Empiece DMARC con p=none y una dirección de informes (rua=mailto:dmarc@example.com). Observe durante unas semanas en los informes qué servicios superan la comprobación y cuáles no.
5. Pase a p=quarantine y después a p=reject cuando ya no vea fallar ningún correo propio.

Un dominio que nunca envía correo (un nombre de marca que solo ha registrado, un dominio antiguo) puede protegerlo de forma estricta desde el principio. Los estafadores buscan precisamente ese tipo de dominios, porque nadie los vigila:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

El null MX (0 .) indica "aquí no llega ningún correo", -all indica "nadie puede enviar correo en nombre de este dominio", y p=reject pide a los destinatarios que rechacen todo.

Lo que no impide

SPF, DKIM y DMARC protegen exactamente el nombre de su dominio. No son un filtro antiphishing. Hay tres cosas que no impiden:

• Dominios similares (lookalikes). Un estafador registra examp1e.example o example-facturen.example y configura allí correctamente SPF, DKIM y DMARC para sí mismo. Ese correo supera todas las comprobaciones. Solo leer el dominio con atención (lección 3.2) ayuda, además de, opcionalmente, registrar las variantes más evidentes de su propio nombre.
• Solo el nombre mostrado. Un correo de bakkerij.example.factuur@gratismail.example con el nombre mostrado "Bakkerij Example" no tiene nada que ver con su dominio. DMARC se fija en la dirección, no en el nombre.
• Un buzón hackeado. Si un atacante inicia sesión en info@example.com, envía correo a través de su servidor real. Ese correo supera SPF, DKIM y DMARC, porque técnicamente es auténtico. Contra esto protegen las contraseñas robustas y la verificación en dos pasos (2FA) (módulo 2).

SPF, DKIM y DMARC demuestran que un correo procede del dominio. No demuestran que el dominio sea de confianza, ni que el remitente sea quien dice ser.

Qué le aporta a usted y a sus clientes

• Protección de sus clientes. Con p=reject, las facturas falsas enviadas en su nombre exacto se rechazan en los grandes proveedores de correo antes de que su cliente las vea.
• Mejor entrega. Desde febrero de 2024, Gmail y Yahoo exigen SPF, DKIM y DMARC (al menos p=none) a quien envía más de unos 5.000 correos al día; Microsoft exige lo mismo desde mayo de 2025 para Outlook.com y Hotmail. También para remitentes pequeños, el correo con buena autenticación cae con menos frecuencia en el spam.
• Visibilidad sobre el uso indebido. Los informes DMARC muestran cuándo alguien intenta usar su dominio. Utilice para ello una dirección aparte; pronto recibirá varios informes al día.

DMARC se revisó en mayo de 2026 como RFC 9989, que sustituye a RFC 7489. Los registros existentes con v=DMARC1 siguen funcionando con normalidad.

En la práctica: así se ve

Puede comprobar el estado de cualquier dominio sin instalar nada. De forma independiente puede hacerlo con la prueba de correo de internet.nl. La comprobación pública de correo electrónico y la salud de dominio de WebOké también muestran SPF, DMARC y MX con un indicador verde, naranja o rojo. Si tiene su dominio en WebOké, la misma comprobación aparece como una tarjeta en la página de dominio en Mi WebOké, con un botón para añadir un registro DMARC con p=none si falta. En otros proveedores funciona de forma similar: busque "autenticación de correo electrónico" o la configuración DNS de su dominio.

Preste atención, en cada herramienta, a qué significa "verde". Algunas herramientas muestran verde ya con p=none, porque el registro es válido. Desde el punto de vista de la seguridad, p=none es naranja: el registro está en orden, la protección todavía no.

Resumen

• Sin protección, cualquiera puede enviar correo con su dirección en el campo "De:" (suplantación).
• SPF indica qué servidores pueden enviar correo, DKIM añade una firma, DMARC comprueba si una de las dos supera la verificación para el dominio que ve su cliente y dice qué debe ocurrir si no es así.
• Orden: hacer un inventario de remitentes, SPF, DKIM, DMARC p=none con informes, después quarantine y reject. Los dominios que no envían correo, cerrarlos de inmediato.
• No protegen contra dominios similares, nombres mostrados engañosos ni un buzón hackeado.
• p=none es un comienzo, no una protección.

Cuestionario

Ejercicio

Ejercicio A4.1: Evaluar la protección del correo de su dominio. Introduzca el nombre de su propio dominio (si no tiene ninguno, utilice sidn.nl). El programa consulta MX, SPF y DMARC y muestra, para cada elemento, verde, naranja o rojo con una explicación. A continuación, indique qué política DMARC está configurada y cuál sería su siguiente paso.

Ejercicio D4.1: ¿Quién envía correos en nombre de su dominio? Haga una lista de todos los servicios que envían correo con una dirección de su dominio: proveedor de correo, sitio web, tienda online, contabilidad, boletín, sistema de citas. Marque por servicio si figura en su SPF y si usa DKIM con su propio dominio. Anote qué política DMARC quiere tener dentro de tres meses, y qué falta aún por hacer para lograrlo.

Para saber más

Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma similar.

• Curso de DNS, lecciones 4.3 (SPF), 4.4 (DKIM) y 4.5 (DMARC): https://www.weboke.es/dns-cursus
• ¿Qué es DMARC? Explicación en lenguaje sencillo
• ¿Cómo funciona el registro SPF en el DNS?
• Crear registro DMARC en DirectAdmin
• Manual de DirectAdmin 5.7: Configurar y ampliar el SPF
• Manual de DirectAdmin 5.8: Activar y comprobar DKIM
• Manual de DirectAdmin 5.9: Configurar DMARC
• Comprobación pública de correo electrónico: https://www.weboke.es/comprobar-correo
• Internet.nl, prueba de correo (independiente): https://internet.nl