SPF, DKIM y DMARC: cómo evitar que suplanten el correo de tu empresa

Equipo AEGIS · Actualizado el 14 de noviembre de 2026

En resumen

Sin DMARC en modo bloqueo, cualquiera puede enviar correos que parecen salir de tu dominio.
Necesitas tres registros: SPF (quién puede enviar), DKIM (firma de cada correo) y DMARC (qué hacer con lo que falla).
El camino seguro es p=none → p=quarantine → p=reject, revisando informes en cada paso.

Por qué importa a una pyme

El fraude más rentable contra pequeñas empresas no necesita entrar en ningún sistema. Basta con enviar a un cliente un correo que parece tuyo, con una factura y un número de cuenta nuevo. O escribir a administración «de parte del gerente» pidiendo una transferencia urgente.

Si tu dominio no publica una política DMARC que mande rechazar esos correos, muchos servidores los entregarán. El atacante no ha tenido que robar nada: ha usado tu nombre porque nadie le dijo al resto de internet que no podía.

Además, Gmail y Yahoo ya lo exigen a quien envía mucho correo: desde febrero de 2024, los remitentes de más de 5.000 mensajes diarios deben autenticar con SPF, DKIM y DMARC [1]. Y Yahoo ha dejado claro que no hay un volumen mínimo seguro para saltarse los requisitos [2].

Qué hace cada registro

Registro	Responde a	Dónde se publica
SPF	¿Qué servidores pueden enviar correo con mi dominio?	TXT en el dominio raíz
DKIM	¿Este correo concreto lo ha firmado mi proveedor y no se ha modificado?	TXT en `selector._domainkey`
DMARC	¿Qué hago si un correo no pasa SPF ni DKIM alineados con el remitente visible?	TXT en `_dmarc`

La clave está en la palabra alineados. SPF y DKIM por sí solos comprueban dominios técnicos que el destinatario no ve. DMARC exige que coincidan con el dominio que aparece en el campo «De:», que es lo que el destinatario lee y en lo que confía.

Cómo comprobar tu dominio en dos minutos

Abre una consulta DNS (por ejemplo, desde la terminal con nslookup -type=TXT) y mira tres cosas:

SPF: en tu dominio debe haber un solo registro que empiece por v=spf1. Si hay dos, ninguno es válido.
DMARC: en _dmarc.tudominio.es debe haber un registro v=DMARC1. Fíjate en el valor de p=.
DKIM: tu proveedor de correo te dice el selector (por ejemplo, google, selector1 o default). Comprueba que selector._domainkey.tudominio.es devuelve una clave.

Si p=none, DMARC solo observa: no protege. Es un punto de partida, no de llegada.

Configuración paso a paso

1. Haz inventario de quién envía en tu nombre

No solo tu correo (Microsoft 365, Google Workspace, el de tu hosting). También la herramienta de newsletters, el programa de facturación, la tienda online, el CRM, el formulario de la web. Cada uno que envíe con tu dominio tiene que estar en SPF o firmar con DKIM.

2. Publica un SPF único y cerrado

v=spf1 include:_spf.google.com include:servicio-de-newsletter.com -all

Usa -all (rechazar) o, mientras pruebas, ~all. Nunca +all, que autoriza a todo internet. SPF tiene un límite de 10 consultas DNS: si encadenas demasiados include, el registro deja de funcionar [3].

Si un dominio no envía correo nunca (por ejemplo, uno que solo redirige a tu web), publica v=spf1 -all y un DMARC en reject: es el más fácil de suplantar porque nadie lo vigila.

3. Activa DKIM en cada servicio

Cada proveedor tiene un botón «Autenticar dominio» o similar que te da uno o dos registros para copiar en tu DNS. Hazlo en todos los que envían con tu dominio.

4. Empieza DMARC en modo observación, con informes

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.es

Durante dos a cuatro semanas recibirás informes diarios de los grandes proveedores con todos los servidores que han enviado en tu nombre. Ahí aparecen los olvidados (y los impostores).

5. Endurece por fases

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@tudominio.es
v=DMARC1; p=reject; rua=mailto:dmarc@tudominio.es

Con quarantine los correos que fallan van a spam; con reject ni se entregan. Sube cuando los informes ya no muestren envíos legítimos que fallen.

Errores frecuentes

Dos registros SPF porque cada proveedor dijo «añade este». Hay que fusionarlos en uno.
Quedarse en p=none para siempre. Es como instalar una alarma que solo apunta quién entra.
Olvidar subdominios y dominios secundarios. Si tienes tuempresa.com además de .es, protege los dos.
Pasar a reject sin mirar los informes y descubrir una semana después que las facturas no llegaban.

Cómo lo puntúa AEGIS

En nuestro modelo, no tener DMARC o tener un SPF que lo permite todo son los fallos más baratos para un atacante: no requieren ninguna habilidad técnica. Por eso, mientras sigan abiertos, limitan la nota del dominio por mucho que el resto esté bien.