SPF, DKIM y DMARC son tres ajustes del dominio de tu empresa que le dicen al resto del mundo qué correos son tuyos de verdad. SPF indica desde qué servidores puedes enviar, DKIM firma cada mensaje para demostrar que no se ha modificado y DMARC decide qué hacer con los correos que fallan esas comprobaciones: dejarlos pasar, mandarlos a spam o rechazarlos. Sin los tres bien configurados, cualquiera puede enviar correos haciéndose pasar por tu empresa.
Seguramente has recibido alguna vez un correo que parecía de tu banco o de un proveedor y no lo era. Lo que mucha gente no sabe es que lo mismo puede pasar con tu propio dominio: un estafador envía facturas falsas a tus clientes «desde» tu dirección, y ellos no tienen forma de distinguirlo. Esto se llama suplantación del correo (en inglés, email spoofing), y se frena en gran parte con estos tres ajustes.
Qué hace cada uno, con un ejemplo cotidiano
Piensa en el correo como en una carta certificada:
| Ajuste | Qué es en la vida real | Qué comprueba |
|---|---|---|
| SPF | La lista de oficinas de correos autorizadas a enviar tus cartas | Que el mensaje sale de un servidor que tú has autorizado (por ejemplo, Microsoft 365 o tu programa de facturación) |
| DKIM | Tu sello lacrado en el sobre | Que el mensaje lleva tu firma y nadie lo ha modificado por el camino |
| DMARC | Las instrucciones que das al cartero | Qué hacer si una carta no cumple lo anterior: entregarla igualmente, apartarla o devolverla, y mandarte un informe |
Los tres se configuran en el DNS de tu dominio, es decir, en el panel de la empresa donde compraste el dominio (o donde lo gestiona tu proveedor). No hay que instalar nada en los ordenadores.
Por qué ya no es opcional
- Gmail, Yahoo y Microsoft exigen autenticación a quien envía muchos correos. Desde 2024 Google y Yahoo piden SPF, DKIM y DMARC a los remitentes masivos, y Microsoft ha ido en la misma línea con Outlook.com. Si tu empresa envía boletines, avisos o facturas en volumen y no los tiene, tus correos acaban en spam.
- El fraude por correo es el ataque más común en pymes. El falso correo del director pidiendo una transferencia o la factura con una cuenta bancaria cambiada empiezan casi siempre con una suplantación. Lo contamos en detalle en fraude del CEO: cómo funciona y cómo frenarlo.
- Las aseguradoras y las auditorías lo preguntan. Las pólizas de ciberriesgo y la ISO 27001 suelen pedir que el dominio esté protegido. Lo vimos en los requisitos técnicos de las pólizas de ciberseguridad.
Cómo saber si tu dominio está protegido
Puedes hacer una primera comprobación en dos minutos: envía un correo desde tu cuenta a una dirección de Gmail, ábrelo, pulsa en los tres puntos y elige «Mostrar original». Verás tres líneas: SPF, DKIM y DMARC. Si alguna pone FAIL o directamente no aparece, hay trabajo por hacer.
Lo habitual en las pymes que revisamos es una de estas tres situaciones:
- No hay DMARC. Es lo más frecuente: el dominio no dice qué hacer con los correos falsos, así que se entregan.
- Hay DMARC, pero en modo «solo observar» (
p=none) desde hace años. Es el primer paso correcto, pero si nadie lee los informes, no protege de nada. - SPF incompleto. Se añadió Microsoft 365 pero no el programa de facturación, la web o la herramienta de boletines, y esos correos fallan.
Los pasos para activarlo sin que tus correos acaben en spam
El error típico es activar DMARC en modo estricto el primer día y descubrir que las facturas del programa de contabilidad ya no llegan. El orden correcto es este:
1. Haz inventario de quién envía correo en tu nombre
Microsoft 365, el programa de facturación (Holded, por ejemplo), la tienda online, la herramienta de boletines, la centralita, la impresora que escanea a correo… Todo lo que envía con @tuempresa.com tiene que estar en la lista.
2. Configura SPF con todos ellos
Un único registro SPF que incluya todos los servicios autorizados. Ojo: solo puede haber uno por dominio y tiene un límite de consultas, así que no vale ir añadiendo registros sueltos.
3. Activa DKIM en cada servicio
En Microsoft 365 se activa desde el portal de seguridad, publicando dos registros en el DNS. La mayoría de servicios de envío (facturación, boletines) ofrecen su propia firma DKIM: actívala también.
4. Publica DMARC en modo observación
Empieza con p=none y una dirección para recibir los informes. Durante unas semanas verás quién envía correo en tu nombre, tanto los servicios legítimos que se te habían olvidado como los intentos de suplantación.
5. Endurece por fases
Cuando los informes estén limpios, pasa a p=quarantine (los correos falsos van a spam) y, por último, a p=reject (se rechazan). Es en este punto cuando tu dominio queda protegido de verdad.
6. Vigila los informes
Los informes de DMARC llegan en un formato difícil de leer. Lo práctico es usar una herramienta que los resuma y avise cuando aparece un remitente nuevo.
Lo que DMARC no resuelve
DMARC protege tu dominio exacto. No impide que un estafador registre un dominio parecido (tuempresa-es.com, tuernpresa.com) ni que use el nombre de tu director con una cuenta de Gmail. Para eso hace falta un filtro de correo que analice el contenido y detecte suplantaciones, y un equipo que acostumbre a desconfiar de los cambios de cuenta bancaria por correo. Lo explicamos en protección del correo en Microsoft 365: ¿basta con lo que trae?.
Preguntas frecuentes
¿Activar DMARC puede hacer que mis correos no lleguen? Sí, si se activa en modo estricto sin haber revisado antes quién envía en tu nombre. Por eso se empieza en modo observación y se endurece por fases.
¿Lo puedo hacer yo mismo? Si tienes acceso al panel de tu dominio y un único servicio de correo, sí. Cuando hay varios servicios que envían en tu nombre, lo habitual es que alguien con experiencia haga el inventario y siga los informes durante unas semanas.
¿Cuánto tarda en estar protegido el dominio? Configurar los registros lleva poco tiempo. Lo que lleva semanas es observar los informes y endurecer la política sin cortar correos legítimos.
¿Me sirve si uso Google Workspace en lugar de Microsoft 365? Sí. SPF, DKIM y DMARC son estándares del correo, no de un fabricante concreto.
Deja tu dominio protegido
En el complemento de protección del correo de Kualum Solutions configuramos y revisamos la autenticación de tu dominio (DMARC incluido), filtramos los correos peligrosos y detectamos las suplantaciones, con especialistas vigilando tu correo las 24 horas.
👉 Ver la protección del correo y copias de seguridad o reserva una reunión de 30 minutos y revisamos tu dominio contigo.
