SPF, DKIM y DMARC: cómo evitar que suplanten el correo de tu dominio

Cualquiera puede enviar un correo poniendo facturacion@tu-empresa.es como remitente. El protocolo de correo no lo impide por sí solo. Lo que sí lo impide son tres registros DNS que le dicen al resto del mundo quién puede enviar en nombre de tu dominio y qué hacer con los correos que no cumplen.

Sin ellos, tu dominio es una herramienta perfecta para un phishing dirigido a tus clientes o proveedores.

Qué hace cada uno

• SPF: lista qué servidores pueden enviar correo con tu dominio.
• DKIM: firma criptográficamente cada correo; el receptor comprueba la firma con una clave pública publicada en tu DNS.
• DMARC: indica qué hacer si un correo falla SPF y DKIM (entregarlo, mandarlo a spam o rechazarlo) y adónde enviarte informes.

SPF y DKIM autentican. DMARC es el que aplica la política y comprueba que el dominio autenticado coincide con el del remitente visible.

Comprueba tu dominio

Con dig (paquete dnsutils o bind-utils):

# SPF
dig +short TXT tu-empresa.es | grep spf1

# DMARC
dig +short TXT _dmarc.tu-empresa.es

# DKIM (necesitas el selector; depende del proveedor)
dig +short TXT selector1._domainkey.tu-empresa.es

El selector de DKIM lo indica tu proveedor de correo. También puedes verlo en las cabeceras de un correo enviado desde tu dominio, en el campo DKIM-Signature, parámetro s=.

SPF

Un registro TXT en la raíz del dominio:

tu-empresa.es.  TXT  "v=spf1 include:_spf.google.com ~all"

• include: autoriza los servidores de tu proveedor (Google Workspace en el ejemplo; Microsoft 365 usa include:spf.protection.outlook.com).
• ~all marca como sospechoso lo demás; -all lo rechaza.

Errores habituales:

• Tener dos registros SPF. Solo puede haber uno; si hay dos, ambos son inválidos.
• Superar 10 consultas DNS. Cada include cuenta, y los anidados también.
• Olvidar servicios que envían en tu nombre: la herramienta de newsletters, el CRM, la web…

DKIM

Se activa en el panel del proveedor de correo, que genera las claves y te da el registro a publicar, normalmente un TXT o CNAME bajo selector._domainkey. No hay que inventar nada: copia exactamente lo que indica el proveedor y activa la firma después de publicarlo.

DMARC: el plan seguro en tres fases

Pasar directamente a “rechazar todo” puede bloquear correos legítimos de servicios que olvidaste. Lo prudente es avanzar por fases:

Fase 1 — Observar (2-4 semanas):

_dmarc.tu-empresa.es.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tu-empresa.es"

p=none no bloquea nada, pero recibirás informes diarios con todos los servidores que envían en tu nombre. Revísalos y añade a SPF/DKIM los legítimos.

Fase 2 — Cuarentena:

_dmarc.tu-empresa.es.  TXT  "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@tu-empresa.es"

Los correos que fallan van a spam. pct=25 aplica la política solo al 25 % para ir subiendo poco a poco.

Fase 3 — Rechazo:

_dmarc.tu-empresa.es.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@tu-empresa.es"

A partir de aquí, un correo falso con tu dominio no llega a la bandeja de nadie que respete DMARC.

Los informes rua son XML poco legibles. Existen servicios y herramientas de código abierto que los convierten en paneles; para empezar, basta con abrir alguno y comprobar qué IPs aparecen.

Resumen

Son tres registros DNS y una tarde de trabajo. A cambio, nadie podrá usar tu dominio para engañar a tus clientes.

• #guía
• #correo