SPF, DKIM y DMARC: qué son y cómo evitar que suplanten tu correo

SPF, DKIM y DMARC son tres registros que se publican en el DNS de tu dominio para que los servidores de correo sepan si un mensaje que dice venir de tu empresa es auténtico. SPF dice qué servidores pueden enviar en tu nombre, DKIM firma cada mensaje y DMARC une los dos y le dice al servidor que recibe qué hacer con los correos que fallan: nada, mandarlos a spam o rechazarlos. Sin DMARC, es más fácil que alguien envíe correos haciéndose pasar por tu dominio.

Por qué importa: la suplantación del remitente

El protocolo de correo nació sin forma de comprobar quién envía. Escribir cualquier dirección en el campo «De» es técnicamente sencillo. Así funcionan muchos fraudes: una falsa factura de una empresa proveedora, un cambio de cuenta bancaria «de parte de la dirección» o un aviso que imita a tu empresa ante tu clientela. INCIBE explica este riesgo en su artículo «El correo electrónico: la primera barrera a proteger para evitar el fraude».

SPF, DKIM y DMARC no impiden que alguien escriba tu dirección, pero permiten que los servidores que reciben el correo detecten el engaño y lo frenen. Y tienen un efecto añadido: tus correos legítimos llegan mejor a la bandeja de entrada.

Qué es SPF

SPF (Sender Policy Framework) está definido en la RFC 7208. Es un registro de texto (TXT) en el dominio que enumera los servidores autorizados a enviar correo con ese dominio. Un ejemplo para un dominio ficticio que usa su propio servidor y un servicio externo de correo:

ejemplo.es. TXT "v=spf1 mx include:_spf.proveedor-de-correo.example -all"

• v=spf1 indica que es un registro SPF.
• mx autoriza a los servidores de correo entrante del dominio.
• include: añade los servidores que autoriza otro servicio. Cada servicio que envía en tu nombre (tu correo, tu herramienta de boletines, tu tienda online) te indicará el suyo.
• -all dice que cualquier otro servidor no está autorizado. Con ~all el resultado es un fallo suave: se marca, pero con menos firmeza.

Qué es DKIM

DKIM (DomainKeys Identified Mail), definido en la RFC 6376, añade una firma digital a cada mensaje. El servidor que envía firma con una clave privada y publica la clave pública en el DNS, bajo un nombre llamado «selector». Quien recibe comprueba la firma: si el mensaje se ha alterado por el camino o no lo firmó tu dominio, la comprobación falla.

correo2026._domainkey.ejemplo.es. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

El texto largo tras p= es la clave pública, que te da tu servicio de correo. La RFC 8301 exige claves RSA de al menos 1.024 bits y recomienda 2.048, y prohíbe firmar con el algoritmo antiguo SHA-1.

Qué es DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) se publicó en 2015 en la RFC 7489. En mayo de 2026, el IETF la sustituyó por la RFC 9989, que pasa a ser un estándar y se completa con las RFC 9990 y 9991 sobre los informes. Los registros siguen empezando por v=DMARC1.

DMARC hace tres cosas:

1. Exige alineación: no basta con que SPF o DKIM sean válidos. El dominio que se ve en el «De» del mensaje tiene que coincidir con el dominio validado por SPF o por DKIM.
2. Publica tu política para los mensajes que fallan, con la etiqueta p: none (solo observar), quarantine (tratarlos como sospechosos, normalmente spam) o reject (rechazarlos).
3. Pide informes con la etiqueta rua: los servidores que reciben tu correo te envían resúmenes de quién está enviando en nombre de tu dominio y si pasa o no las comprobaciones.

Se publica en el subdominio _dmarc:

_dmarc.ejemplo.es. TXT "v=DMARC1; p=none; rua=mailto:informes-dmarc@ejemplo.es"

Cómo desplegar DMARC paso a paso

La propia RFC 9989 (apartado 5.1) describe un despliegue progresivo. Empezar directamente con reject puede bloquear correos legítimos que no sabías que se enviaban en tu nombre, como las facturas de tu programa de gestión o los avisos de tu tienda online.

1. Haz inventario de todo lo que envía correo con tu dominio: buzones, web, tienda, boletines, programa de facturación, centralita, CRM.
2. Publica o corrige el SPF con todos esos servicios.
3. Activa DKIM en cada servicio que lo permita, con tu dominio.
4. Prepara un buzón para los informes. Llegan en un formato técnico (XML); la RFC recomienda procesarlos con una herramienta.
5. Publica DMARC con p=none y la etiqueta rua. Es el «modo de supervisión»: no cambia la entrega, pero empiezas a ver los datos.
6. Revisa los informes durante un tiempo y corrige cada envío legítimo que falle. La RFC dice que estos fallos deben resolverse antes de endurecer la política.
7. Pasa a p=quarantine y sigue vigilando.
8. Termina en p=reject cuando estés seguro de que todo lo legítimo pasa.

La versión anterior de DMARC permitía aplicar la política a un porcentaje de mensajes con la etiqueta pct. La RFC 9989 la elimina porque los servidores la aplicaban de forma irregular. Si tu registro la incluye, revísalo con quien gestiona tu correo.

Qué exigen Google y Yahoo desde 2024

Desde el 1 de febrero de 2024, Google aplica unas directrices para remitentes que envían correo a cuentas personales de Gmail:

• Para cualquier envío: SPF o DKIM, registros DNS directos e inversos válidos para los servidores que envían, conexión TLS y una tasa de spam por debajo del 0,30 % en Postmaster Tools.
• Para quien envía más de 5.000 mensajes al día a Gmail: SPF y DKIM, un registro DMARC (vale p=none), alineación del dominio del «De» con SPF o DKIM y, en los mensajes comerciales, baja con un solo clic y un enlace visible para darse de baja.

Yahoo publica requisitos equivalentes para los envíos masivos: SPF y DKIM, DMARC al menos con p=none que debe superarse, baja sencilla atendida en dos días y una tasa de spam inferior al 0,3 %.

Aunque tu pyme no llegue a esos volúmenes, cumplir los mismos requisitos ayuda a que tus presupuestos, facturas y avisos no acaben en spam.

Errores frecuentes

• Dos registros SPF en el mismo dominio. La RFC 7208 lo prohíbe: el resultado es un error permanente y el SPF deja de servir. Si contratas un servicio nuevo, añade su include al registro que ya tienes, no crees otro.
• Más de 10 consultas DNS. Los mecanismos include, a, mx, ptr y exists, y el modificador redirect, cuentan; y los include de tus servicios de envío suman los suyos. Por encima de 10, el SPF da error (apartado 4.6.4).
• Terminar con +all. Autoriza a cualquier servidor del mundo y anula la protección.
• Quedarse en p=none para siempre. Observa, pero no frena a quien suplanta tu dominio.
• Publicar DMARC sin leer los informes, o con un buzón de informes que nadie revisa.
• Olvidar los dominios que no envían correo. Un dominio sin uso también se puede suplantar. Un SPF con solo -all y un DMARC con p=reject lo protegen.
• Firmar DKIM con el dominio del servicio de envío y no con el tuyo. Entonces DKIM no se alinea con tu dominio y DMARC depende solo de SPF.

Cómo comprobar DMARC, SPF y DKIM

1. Consulta el DNS con una herramienta en línea o con nslookup -type=TXT _dmarc.tudominio.es y nslookup -type=TXT tudominio.es.
2. Mira las cabeceras de un correo que hayas enviado a una cuenta de Gmail u Outlook. En Gmail, «Mostrar original» indica si SPF, DKIM y DMARC han dado PASS.
3. Revisa los informes DMARC para ver si alguien envía en tu nombre desde servidores que no conoces.

Cómo te ayuda XEVIA

Nuestra herramienta para comprobar SPF y DMARC consulta el DNS de tu dominio y te dice si tienes registro SPF, si termina en +all, si tienes DMARC y si se queda en p=none. El diagnóstico gratuito de XEVIA incluye esas mismas comprobaciones junto con las de la página de inicio de tu web. Ten en cuenta que es un análisis automático, desde fuera y orientativo: no puede comprobar DKIM, porque para eso hace falta conocer el selector que usa tu servicio de correo, ni leer tus informes DMARC.

Si quieres repasar el resto de la seguridad visible de tu web, tienes la herramienta para comprobar la seguridad web, la de comprobar el certificado SSL y nuestra guía sobre las vulnerabilidades web más comunes. Si prefieres que lo revisemos contigo, escríbenos.

Preguntas frecuentes

¿Necesito los tres o basta con uno?

Lo recomendable es tener los tres. SPF y DKIM autentican, pero sin DMARC el servidor que recibe no sabe qué hacer si fallan ni comprueba que coinciden con el dominio que ve quien lee el mensaje.

¿Qué pasa si pongo p=reject directamente?

Que puedes bloquear correos legítimos que no estén bien configurados. Empieza por p=none, revisa los informes y endurece por fases.

¿Quién configura estos registros?

Se publican donde gestionas el DNS de tu dominio, normalmente la empresa donde registraste el dominio o la de alojamiento. Los valores de SPF y DKIM te los da cada servicio que envía correo en tu nombre.

Recibo correos que parecen venir de mi propio dominio. ¿Qué hago?

Revisa si tienes DMARC y en qué política. Si está en none o no existe, sigue los pasos de esta guía. Y avisa a tu equipo y a tu clientela de que no atiendan peticiones de pago o cambios de cuenta sin confirmarlas por otra vía.