SPF, DKIM y DMARC explicados: evita que suplanten tu dominio

01El problema: el correo no tiene una verificación de identidad integrada

El sistema de correo original permite que el remitente escriba cualquier dirección en la línea "De". Los atacantes lo usan para enviar facturas falsas, restablecimientos de contraseña y peticiones "urgentes" que parecen venir de tu empresa. Los mensajes no se hackean desde tus servidores, simplemente se falsifican.

Tres registros DNS cierran esta brecha. Los añades una vez en tu proveedor de DNS y los servidores receptores, como Gmail y Outlook, los comprueban en cada mensaje.

02SPF: quién puede enviar en tu nombre

SPF es una lista de los servidores autorizados a enviar correo para tu dominio. Es un único registro TXT en el propio dominio.

v=spf1 include:_spf.mx.cloudflare.net -all

Léelo de izquierda a derecha: usa la versión 1 de SPF, confía en lo que indique el include, y -all significa "rechaza a todos los demás". ~all es la versión más suave: marca el resto del correo como sospechoso en lugar de rechazarlo.

03DKIM: una firma en cada mensaje

Con DKIM, tu proveedor de correo firma cada mensaje saliente con una clave privada. La clave pública correspondiente está en tu DNS, así el receptor puede verificar que el mensaje no se modificó y que realmente pasó por tu proveedor. Normalmente no escribes este registro tú mismo: tu proveedor te da el nombre y el valor exactos para pegar.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

04DMARC: la política que lo une todo

DMARC indica a los receptores qué hacer cuando un mensaje no supera las comprobaciones de SPF y DKIM alineadas con el dominio "De" visible, y adónde enviar los informes al respecto.

v=DMARC1; p=none; rua=mailto:reports@example.com

• p=none: solo observar y enviar informes. No se bloquea nada.
• p=quarantine: el correo sospechoso va a spam.
• p=reject: el correo falsificado se rechaza por completo.

05Comprueba tu propio dominio

Escribe tu dominio abajo. La comprobación se ejecuta en tu navegador contra DNS público y no se guarda nada.

06Un plan de implantación seguro

1. Añade o corrige tu registro SPF con ~all.
2. Activa DKIM en tu proveedor de correo y publica el registro que te da.
3. Añade DMARC con p=none y una dirección de informes que leas.
4. Tras dos a cuatro semanas de informes limpios, pasa a p=quarantine.
5. Cuando tengas confianza, pasa a p=reject y cambia SPF a -all.