Equipo y buenas prácticas
Qué son DMARC, DKIM y SPF, por qué tu empresa los necesita y cómo evitan que alguien mande correos haciéndose pasar por ti. Sin tecnicismos.
Tres siglas que probablemente nunca has oído. Y que si no están configuradas en tu dominio, cualquiera puede mandar correos haciéndose pasar por ti ahora mismo. Sin esfuerzo. Sin que te enteres.
El fraude de facturas falsas empieza casi siempre igual. Un proveedor recibe un correo que parece venir de tu empresa, con el logo correcto y el tono habitual, pidiendo que paguen en una cuenta nueva. El proveedor paga. Y tú no sabes nada hasta que preguntas por el ingreso.
No han hackeado tu cuenta. No han robado tu contraseña. Solo han enviado un correo haciéndose pasar por ti. Y si no tienes SPF, DKIM y DMARC configurados, eso es algo que cualquiera puede hacer.
El correo electrónico fue diseñado en los años setenta para ser abierto y accesible. La seguridad no era una prioridad entonces. El resultado es que por defecto, cualquiera puede enviar un correo desde cualquier dirección sin tener acceso a ella.
Es como si el sistema postal permitiera escribir cualquier remitente en el sobre. Sin ninguna verificación.
Los tres protocolos que vamos a explicar son la solución a ese problema. No vienen activados por defecto. Hay que configurarlos. Y la mayoría de pymes no lo ha hecho.
SPF son las siglas de Sender Policy Framework. Es un registro que se añade al DNS de tu dominio y que dice exactamente qué servidores están autorizados a enviar correos desde tu dirección.
Cuando alguien recibe un correo que dice venir de tuempresa.com, el servidor de correo del destinatario consulta el SPF de tuempresa.com. Si el correo viene de un servidor que no está en la lista, puede marcarlo como sospechoso o rechazarlo directamente.
La analogía más clara: es como una lista de empleados autorizados a firmar documentos en nombre de la empresa. Si alguien que no está en la lista intenta firmar, hay un mecanismo que lo detecta.
Sin SPF: cualquier servidor del mundo puede enviar correos como si fueran tuyos.
Con SPF: los servidores no autorizados quedan fuera de la lista y pueden ser rechazados.
DKIM son las siglas de DomainKeys Identified Mail. Añade una firma criptográfica a cada correo que envías, invisible para el lector pero verificable por el servidor que lo recibe.
Esa firma garantiza dos cosas: que el correo vino realmente de tu dominio y que nadie lo modificó en el camino.
La analogía: es como un sello notarial en un documento. No lo ves a simple vista pero demuestra que es auténtico y que no ha sido alterado desde que se firmó.
Sin DKIM: un atacante puede interceptar un correo tuyo, cambiar los datos bancarios de una factura y reenviarlo. El destinatario no nota nada.
Con DKIM: cualquier modificación en tránsito invalida la firma. El servidor del destinatario lo detecta.
SPF y DKIM verifican el correo, pero no dicen qué hacer cuando la verificación falla. DMARC es el protocolo que da esas instrucciones.
DMARC son las siglas de Domain-based Message Authentication, Reporting and Conformance. Se configura también en el DNS y tiene tres opciones posibles cuando un correo no pasa las verificaciones:
none: no hace nada, solo monitoriza y manda informes. Es el modo de prueba, útil para empezar sin riesgo.
quarantine: manda a spam los correos que no pasan la verificación.
reject: rechaza directamente los correos que no pasan la verificación. Es el modo más protector.
Además, DMARC envía informes periódicos con todos los correos que se envían desde tu dominio, incluyendo los intentos de suplantación. Es la única forma de saber si alguien está intentando hacerse pasar por ti sin que te hayas enterado.
Cada protocolo protege una cosa distinta. Por separado son útiles pero incompletos.
| Protocolo | Qué protege | Sin él |
|---|---|---|
| SPF | Quién puede enviar desde tu dominio | ❌ Cualquier servidor puede suplantarte |
| DKIM | Que el correo no fue modificado | ❌ Alguien puede alterar el contenido en tránsito |
| DMARC | Qué hacer cuando algo falla | ❌ SPF y DKIM no tienen efecto real sin instrucciones |
Sin DMARC, tener SPF y DKIM configurados reduce el riesgo pero no lo elimina. Muchos servidores de correo ignoran los fallos de SPF y DKIM si no hay una política DMARC que les diga qué hacer.
Sin necesidad de saber de tecnología, puedes comprobarlo en dos minutos.
Busca en Google “comprobador DMARC” o “MXToolbox DMARC” y pon el dominio de tu empresa. La herramienta te dirá en segundos si tienes SPF, DKIM y DMARC configurados y si la configuración es correcta.
Si el resultado dice que no tienes DMARC o que tienes SPF pero sin política definida, tienes una brecha abierta que vale la pena cerrar.
Una empresa de servicios recibe un correo de lo que parece su proveedor habitual de material de oficina. El correo informa de un cambio de cuenta bancaria y pide que el próximo pago se haga a la nueva cuenta. El tono es correcto, el logo también.
El responsable de administración tramita el pago. Días después, al llamar al proveedor por otro tema, descubre que nunca enviaron ese correo.
El dominio del proveedor no tenía DMARC configurado. Alguien envió el correo haciéndose pasar por ellos sin ninguna dificultad técnica.
Este tipo de fraude, conocido como BEC o Business Email Compromise, fue la modalidad de cibercrimen más rentable en España en 2025. El importe medio por incidente superó los 60.000 euros.
Un técnico con experiencia puede configurar los tres protocolos en menos de una hora. No es una tarea compleja. El proceso es:
Añadir el registro SPF en el DNS del dominio. Generar las claves DKIM y añadirlas también en el DNS. Crear el registro DMARC con la política adecuada.
La configuración recomendada para empezar es DMARC en modo “none” durante unas semanas, para monitorizar sin riesgo, y después subir a “quarantine” o “reject” cuando se haya verificado que todo funciona correctamente.
La verificación de SPF, DKIM y DMARC es una de las primeras cosas que revisamos en el diagnóstico de ciberseguridad. No porque sea la más compleja, sino porque es una de las más frecuentes y una de las que más impacto tiene cuando falla.
En la mayoría de diagnósticos que hacemos, encontramos una de estas tres situaciones: el dominio no tiene DMARC configurado, tiene SPF pero con errores que lo hacen ineficaz, o tiene los tres pero en modo “none” desde hace meses sin que nadie haya revisado los informes.
En los tres casos la solución es rápida. El problema es que nadie lo había mirado.
Proteger el correo de tu empresa de la suplantación no requiere grandes inversiones ni conocimientos técnicos. Requiere saber que el problema existe y dedicar una hora a resolverlo.
Cualquiera puede enviar correos haciéndose pasar por tu empresa sin tener acceso a tu cuenta. Tus clientes y proveedores pueden recibir correos fraudulentos que parecen venir de ti, con consecuencias que van desde el daño reputacional hasta el fraude económico directo.
No. Un técnico con experiencia lo hace en menos de una hora. El proceso implica añadir unos registros en el DNS de tu dominio, algo que cualquier proveedor de hosting o de correo puede hacer o guiarte para hacer.
Con DMARC en modo "none" activo, recibirás informes automáticos de todos los correos que se envían desde tu dominio, incluidos los intentos de suplantación. Sin DMARC, no hay forma de saberlo.
Parcialmente. SPF, DKIM y DMARC protegen tu dominio para que no lo suplanten. Para protegerte del phishing que recibes de otros dominios, necesitas otras capas como filtros de correo y formación del equipo.
Al configurarlo y después ante cualquier cambio relevante: nuevo proveedor de correo, nuevo dominio, nueva herramienta de marketing que envíe correos desde tu dominio. Los informes de DMARC son la mejor forma de detectar problemas antes de que causen daño.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
