Imagina que uno de tus clientes recibe un correo desde tu dirección: “Hemos cambiado de banco, a partir de ahora pagad las facturas a esta cuenta”. El correo no lo has enviado tú, pero lleva tu nombre y tu dominio.
Este fraude es de los más habituales en pymes, y en muchos casos funciona por un motivo sencillo: el dominio de la empresa no le dice al resto del mundo qué correos son suyos de verdad. Para eso existen tres registros: SPF, DKIM y DMARC.
Los tres registros, sin tecnicismos
- SPF es la lista de carteros autorizados. Dice qué servidores pueden enviar correo con tu dominio: tu proveedor de correo, tu web, tu programa de facturación.
- DKIM es el sello en el sobre. Cada correo sale firmado por tu servidor, y quien lo recibe comprueba que la firma es tuya y que nadie lo ha modificado por el camino.
- DMARC son las instrucciones para el destinatario. Le dice a Gmail, Outlook y compañía qué hacer si un correo con tu nombre no pasa SPF ni DKIM: dejarlo pasar, mandarlo a spam o rechazarlo. Y además te envía informes de quién está usando tu dominio.
Los tres juntos hacen que suplantar tu correo sea mucho más difícil. Uno solo se queda corto.
Por qué ahora importa más
Desde 2024, Gmail y Yahoo exigen estos registros a quien envía grandes volúmenes de correo, y cada vez son más estrictos con todos. Un dominio sin DKIM ni DMARC tiene más papeletas de acabar en la carpeta de spam, aunque tus correos sean legítimos.
Cómo activarlos sin perder correos
- Haz inventario. Apunta todo lo que envía correo con tu dominio: el buzón de la oficina, el formulario de la web, el programa de facturación, la herramienta de boletines.
- Publica un único SPF que incluya a todos. Si tienes dos registros SPF, ninguno funciona.
- Activa DKIM en cada servicio que envía en tu nombre y publica su clave en el DNS.
- Empieza DMARC en modo observación (p=none) y revisa los informes un par de semanas.
- Endurece la política a cuarentena y, cuando todo pase, a rechazo.
Los errores que más vemos
- Dos registros SPF en el mismo dominio, o uno que supera el límite de 10 consultas.
- Olvidar el formulario de la web, que deja de llegar cuando se endurece DMARC.
- Pasar directamente a rechazo sin mirar los informes, y perder correos legítimos.
- Tener DKIM publicado en el DNS, pero que el servidor no esté firmando. Pasa más de lo que parece: nos ocurrió en nuestro propio dominio y lo descubrimos mirando las cabeceras de un correo de prueba.
¿Y tu dominio?
Revisar tu SPF, DKIM y DMARC forma parte de nuestra auditoría de seguridad. Si quieres que lo dejemos configurado sin perder ni un correo por el camino, cuéntanos tu caso.
Cuéntanos cómo trabajáis y te decimos por dónde empezar. Sin compromiso.