SPF, DKIM y DMARC: Protege el Correo de tu Empresa

Equipo Grep

Soporte TI · Outsourcing TI · Ciberseguridad · Más de 12 años de experiencia en Chile

Lectura: 7 min · Ver perfil →

SPF, DKIM y DMARC son tres registros DNS que, juntos, le permiten a tu empresa demostrar qué servidores pueden enviar correo en su nombre y qué hacer con los mensajes que no lo demuestren. SPF lista los remitentes autorizados, DKIM firma cada mensaje y DMARC decide si un correo dudoso se entrega, llega a spam o se rechaza. Se configuran en ese orden, y DMARC se endurece por etapas para no cortar correos legítimos. Más abajo encontrarás el plan en tres fases, el checklist de verificación y los errores que más bloquean un despliegue. Si tu empresa ya usa Google Workspace o Microsoft 365, casi todo se resuelve entre el panel de administración del correo y el DNS de tu dominio, sin instalar nada.

¿Para qué sirven SPF, DKIM y DMARC en una empresa?

Sirven para que un correo que dice venir de tu dominio pueda comprobarse como auténtico. Sin ellos, cualquiera puede enviar un mensaje con tu nombre de dominio como remitente, y ese es el mecanismo detrás de muchos intentos de phishing dirigidos a clientes, proveedores y al propio equipo. Además, los servidores receptores usan estas señales para decidir si tus cotizaciones y facturas llegan a la bandeja de entrada o a spam.

Cada registro cumple un rol distinto:

• SPF (Sender Policy Framework): un registro TXT en el DNS que lista qué servidores tienen permiso para enviar correo con tu dominio.
• DKIM (DomainKeys Identified Mail): una firma criptográfica que el servidor agrega a cada mensaje y que el receptor valida con una clave pública publicada en tu DNS. Comprueba que el mensaje no fue alterado en el camino.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): una política que le indica al receptor qué hacer si SPF o DKIM fallan, y que además te envía reportes de quién está usando tu dominio.

¿Cómo saber en qué punto está hoy el dominio de tu empresa?

Se parte por un inventario, porque el error más frecuente es activar DMARC sin saber cuántos sistemas envían correo en nombre de la empresa. Antes de tocar el DNS, revisa esta lista:

1. Consulta los registros TXT de tu dominio con cualquier herramienta pública de consulta DNS y anota si ya existe un registro SPF, si hay un registro que empiece con _dmarc y qué política tiene.
2. Abre un correo recibido desde tu dominio en una cuenta externa y revisa el encabezado del mensaje: busca las líneas de resultado de autenticación (spf, dkim, dmarc) y anota si dicen pass o fail.
3. Haz la lista de todos los sistemas que envían correo con tu dominio: el correo principal, el sistema de facturación electrónica, el CRM, el envío de newsletters, los formularios del sitio web, las impresoras o escáneres que envían por correo y el sistema de soporte.
4. Identifica quién administra el DNS del dominio (la empresa de hosting, el registrador o tu proveedor TI) y confirma que alguien tenga acceso hoy.

Ese inventario es el activo más valioso de todo el proyecto: sin él, cualquier política que publiques es una apuesta.

¿Cuál es el plan en tres fases para implementarlos sin cortar correos legítimos?

La secuencia que reduce el riesgo es esta:

1. Fase 1, SPF y DKIM: publica un único registro SPF que incluya a todos los remitentes del inventario y activa la firma DKIM en tu plataforma de correo. En Google Workspace se genera la clave en el panel de administración y luego se inicia la autenticación; en Microsoft 365 se publican los registros CNAME de DKIM y se activa la firma desde el portal de seguridad.
2. Fase 2, DMARC en monitoreo: publica el registro _dmarc con la política p=none y una dirección rua para recibir los reportes agregados. Con none no se bloquea nada: solo observas. Google recomienda empezar con none e incluir siempre rua. Usa un buzón o grupo dedicado para los reportes, porque el volumen puede ser alto. Mantén esta fase lo suficiente para ver un ciclo completo de envíos de tu empresa, incluido el cierre de mes con la facturación, y corrige cada remitente legítimo que aparezca fallando.
3. Fase 3, endurecer por etapas: cuando los reportes muestran solo remitentes conocidos y autenticados, pasa a p=quarantine para que lo dudoso vaya a spam. Si sigue limpio, avanza a p=reject. Cada salto se hace con los reportes delante, nunca a ciegas.

Si prefieres que un equipo técnico lleve este plan contigo, conversemos sobre tu caso y revisamos primero tu inventario de remitentes.

¿Qué errores bloquean o rompen una implementación de DMARC?

Estos son los que más se repiten en empresas medianas:

• Dos registros SPF en el mismo dominio: solo se permite uno, y tener dos invalida ambos. Hay que unirlos en uno.
• SPF con demasiadas consultas DNS: el estándar limita a 10 las consultas que puede generar un registro SPF. Cada servicio externo que agregas con include suma, y al pasarse el registro falla.
• Un remitente olvidado: la facturación electrónica, el CRM o el sistema de marketing envían con tu dominio y nadie los autorizó. Es el motivo de la mayoría de correos legítimos rechazados.
• Saltar directo a reject: sin una fase de monitoreo, el primer síntoma es que dejan de llegar cotizaciones o facturas.
• DKIM publicado pero no activado: en ambas plataformas la clave se publica y además hay que activar la firma desde el panel del proveedor.
• Reportes a un buzón personal: los reportes agregados pueden llegar en grandes cantidades y saturar una casilla normal.
• Subdominios sin política definida: si envías correo desde subdominios, define explícitamente qué política aplica a ellos.

¿Cómo verificar que quedó bien configurado?

Antes de dar cada fase por cerrada, comprueba lo siguiente:

1. Envía un correo de prueba a una cuenta externa (por ejemplo, una cuenta personal de otro proveedor) y revisa en el encabezado que aparezcan spf=pass, dkim=pass y dmarc=pass.
2. Repite la prueba desde cada sistema del inventario, no solo desde el correo principal.
3. Revisa los reportes agregados de DMARC y confirma que todos los remitentes que aparecen son conocidos.
4. Documenta los registros publicados, quién los administra y cada cuánto se revisan.
5. Vuelve a revisar el dominio cada vez que se contrate o se elimine un sistema que envía correo.

¿Cuándo conviene hacerlo con el equipo interno y cuándo con un proveedor TI?

Si tu empresa envía correo desde un solo sistema, tiene un dominio único y alguien con acceso claro al DNS, el equipo interno puede llevar el plan con esta guía. Conviene apoyo externo cuando hay varios sistemas que envían correo, más de un dominio, un hosting antiguo donde nadie sabe quién administra el DNS, o cuando el correo es crítico para la operación y no hay margen para un error. Un proveedor que ya entrega soporte TI para empresas suele tener el acceso a los paneles y al DNS, y puede mantener el control cuando cambian los sistemas.

Preguntas frecuentes

¿SPF, DKIM y DMARC reemplazan al antivirus o al filtro anti-spam?

No. Protegen la identidad de tu dominio: evitan que otros envíen correo haciéndose pasar por tu empresa y mejoran la confianza de los receptores. El antivirus y el filtro de correo entrante protegen a tu equipo de lo que llega, así que se complementan.

¿DMARC puede hacer que dejen de llegar correos legítimos?

Sí, si se activa directamente en modo rechazo sin haber revisado los reportes. Por eso el plan parte con p=none, que solo observa, y endurece la política cuando todos los remitentes legítimos ya están autenticados.

¿Necesito los tres o me basta con SPF?

Lo recomendable es configurar los tres. DMARC se considera superado cuando al menos uno de los dos mecanismos, SPF o DKIM, pasa y está alineado con el dominio del remitente, y DKIM suele ser más estable cuando un correo se reenvía.

¿Tengo que configurarlo si uso Google Workspace o Microsoft 365 con mi dominio?

Sí. La plataforma entrega las claves y los valores, pero los registros se publican en el DNS de tu dominio, y eso lo hace la empresa o quien administre su DNS.

¿Cada cuánto hay que revisar la configuración?

Cada vez que cambie un sistema que envía correo con tu dominio, y de forma periódica mediante los reportes de DMARC, que muestran si aparece algún remitente desconocido.

SPF, DKIM y DMARC protegen el correo que sale con el nombre de tu empresa; para proteger el acceso a las cuentas que lo envían, el siguiente paso es activar el doble factor de autenticación.

Si quieres dejar el dominio de tu empresa protegido sin arriesgar los correos que hoy sí llegan, agenda una reunión sin compromiso y conversemos sobre tu caso: partimos por el inventario de tus remitentes.