Hace unos meses, un proveedor recibió un correo de «vuestro equipo de facturación» pidiendo cambiar el número de cuenta para el pago de una factura. El correo salía de vuestro dominio, con vuestro logo y vuestra firma. Era falso, pero nada en el mensaje lo delataba — porque nada impedía que cualquiera enviara correos en vuestro nombre.
Eso es el email spoofing: suplantar tu dominio. Y tiene tres antídotos que se llaman SPF, DKIM y DMARC. No son opcionales para una empresa que manda correos a clientes: son la diferencia entre que tu dominio sea una garantía o un disfraz.
El problema: tu dominio habla por ti
Cualquiera puede configurar un servidor de correo para que el remitente parezca facturacion@tuempresa.com, sin tener nada que ver con tu empresa. Tú no lo ves, pero el daño es triple:
- Tu cliente se fía. El nombre de dominio es el sello de tu empresa; si es el tuya, es creíble.
- Tu reputación se quema. El fraude lleva tu nombre, incluso aunque tú no lo hayas enviado.
- Tus correos legítimos acaban en spam. Cuando tu dominio se usa para fraude, los filtros empiezan a desconfiar de tu dominio, y tus facturas, presupuestos y avisos dejan de llegar.
SPF: la lista de invitados
SPF (Sender Policy Framework) es un registro de DNS que responde a una pregunta muy concreta: ¿qué servidores pueden enviar correo en nombre de este dominio?
Cuando alguien recibe tu correo, comprueba si el servidor desde el que salió está en tu lista. Si no lo está, el mensaje puntúa como sospechoso. La analogía es simple: es la lista del portero; quien no figura en ella, no entra.
Detalle a vigilar: si usas varios proveedores para enviar correo (tu oficina, tu CRM, tu herramienta de boletines), todos deben estar en la lista. Es la causa habitual de «configuro SPF y mis correos dejan de entregarse». Y el SPF solo cubre el canal de envío: no protege lo que el usuario ve como remitente visible, para eso está DMARC.
DKIM: el sello criptográfico
DKIM (DomainKeys Identified Mail) es un sello que se pega a cada correo y que el receptor puede verificar. Si alguien modifica el mensaje por el camino — aunque sea un punto — el sello se rompe en la verificación.
Se configura en el panel de tu proveedor de correo (Google Workspace, Microsoft 365, tu hosting…) y publica una clave pública en tu DNS. Tú no lo ves; el que lo ve es el filtro del receptor, y puntúa mejor tu mensaje. También es el mecanismo que hace que tu correo sea «auténtico» incluso si te reenvían o pasa por varios saltos.
DMARC: las reglas y las multas
DMARC (Domain-based Message Authentication) es la pieza que faltaba: le dice al receptor qué hacer cuando un correo que usa tu dominio no supera las comprobaciones de SPF o DKIM.
- p=none: no hagas nada, solo repórtame. Es el modo de aprendizaje recomendado al empezar.
- p=quarantine: mándalo a la carpeta de spam.
- p=reject: recházalo sin más. Es el estado final que quieres alcanzar.
Además, DMARC te envía informes: quién envía correo en tu nombre, desde dónde y si pasa o no las comprobaciones. Eso sirve tanto como para detectar suplantaciones activas como para descubrir la herramienta olvidada de la que nadie se acordaba. Es la visibilidad que hoy no tienes.
Por dónde empezar (sin romper tu correo)
- Inventario: haz la lista de quién envía correo con tu dominio: personas, CRM, facturación, boletines, web.
- Publica SPF con todos los proveedores reales.
- Activa DKIM en cada proveedor (te genera las claves; se publican en el DNS).
- Publica DMARC en p=none y recibe informes durante unas semanas.
- Lee los informes: detecta envíos legítimos que no conocías y suplantaciones.
- Sube la política a quarantine y luego a reject. Hazlo sabiendo quién envía por ti: no lo subas antes de completar el inventario.
Cómo saber si ya te suplantan
- Abriendo los cabeceros de un correo sospechoso: verás si salió realmente de tus servidores. A veces basta con eso para darse cuenta de que no es un problema de tu equipo.
- Con los informes DMARC: si alguien está enviando como tú desde otra infraestructura, aparecerá ahí con su IP.
- Con herramientas públicas como MXToolbox: permiten ver en segundos si tu dominio tiene SPF, DKIM y DMARC bien publicados.
No es solo seguridad: también es entregabilidad
Desde 2024, los grandes proveedores (Gmail, Yahoo) exigen DMARC a quien envía correo de forma masiva. Sin política DMARC, tus boletines y correos comerciales pueden acabar directamente en spam o ser rechazados. Configurarlo bien no solo te protege de la suplantación: hace que tus correos legítimos lleguen.
Si no tienes claro por dónde empezar, esta es una de las comprobaciones de nuestra auditoría OSINT gratuita: revisamos tu configuración de correo, tus subdominios y tu exposición pública, y te lo entregamos en un informe en 72 horas.