¿Pueden suplantar el correo de su empresa? SPF, DKIM y DMARC explicados

Última actualización: octubre de 2026

El correo electrónico se diseñó sin comprobar quién es realmente el remitente. Por eso, cualquier persona puede enviar un mensaje que parezca venir de gerencia@suempresa.com sin tener acceso a su cuenta. Esto se llama suplantación de correo (email spoofing) y es la base de muchos fraudes: falsas solicitudes de pago, cambios de cuenta bancaria de proveedores y enlaces de phishing enviados «en nombre» de su marca.

Tres registros DNS que usted publica en su dominio permiten a los servidores receptores comprobar si un correo es legítimo: SPF, DKIM y DMARC. Esta guía explica qué hace cada uno, cómo revisar su estado actual y cómo corregirlo sin interrumpir su correo.

1. Qué pasa si su dominio no está protegido

• Terceros pueden enviar correos que aparentan ser de su empresa y llegar a clientes, proveedores y empleados.
• Sus propios correos legítimos pueden terminar en la carpeta de spam, porque los proveedores desconfían de los dominios sin autenticación.
• Desde 2024, Google y Yahoo exigen SPF, DKIM y DMARC a quienes envían grandes volúmenes de correo (más de 5.000 mensajes diarios) a sus usuarios. Aunque su empresa envíe menos, hoy es la práctica básica esperada.

2. SPF: quién puede enviar correo por su dominio

SPF (Sender Policy Framework) es un registro DNS de tipo TXT que lista los servidores autorizados a enviar correo en nombre de su dominio. Se publica en la raíz del dominio y se ve así:

v=spf1 include:_spf.google.com ip4:203.0.113.10 ~all

Cómo leerlo:

• v=spf1 indica que es un registro SPF.
• include: autoriza a un proveedor externo, como Google Workspace o Microsoft 365.
• ip4: autoriza una dirección IP concreta, por ejemplo la de su propio servidor.
• ~all (softfail) marca como sospechoso todo lo demás. Con -all (hardfail) se rechaza. Nunca use +all, porque autoriza a todo el mundo.

Reglas que conviene recordar:

• Un dominio debe tener un solo registro SPF. Si publica dos, ambos dejan de funcionar.
• SPF permite como máximo 10 consultas DNS (cada include, a y mx cuenta). Si se pasa, el registro falla. Es un error frecuente en empresas que usan muchos servicios.
• SPF comprueba el servidor que envía, no el remitente que ve el destinatario. Por eso necesita a DKIM y DMARC.

3. DKIM: la firma que demuestra que el mensaje no fue alterado

DKIM (DomainKeys Identified Mail) añade una firma digital a cada correo saliente. El servidor receptor la verifica con una clave pública que usted publica en el DNS, y así comprueba que el mensaje viene realmente de su dominio y no se modificó en el camino.

• La clave pública se publica en selector._domainkey.sudominio.com. El «selector» es un nombre que le asigna su proveedor (por ejemplo, google en Google Workspace).
• Se recomienda una clave de 2048 bits.
• Con Google Workspace o Microsoft 365, la firma se activa desde la consola de administración del proveedor, que le indica qué registro publicar.
• Cada servicio que envía correo por usted (facturación, marketing, CRM) debe tener su propia firma DKIM.

4. DMARC: qué hacer cuando un correo no pasa la verificación

DMARC une SPF y DKIM y le dice al servidor receptor qué hacer con los correos que fallan. También le envía informes para que usted vea quién está enviando correo con su dominio. Se publica como registro TXT en _dmarc.sudominio.com:

v=DMARC1; p=none; rua=mailto:dmarc@sudominio.com

• p=none: solo observa y reporta. No bloquea nada.
• p=quarantine: envía a la carpeta de spam los correos que fallan.
• p=reject: el servidor receptor rechaza los correos que fallan. Es el nivel que realmente impide la suplantación.
• rua=: dirección donde recibirá los informes agregados.

Un correo pasa DMARC solo si SPF o DKIM son válidos y, además, el dominio autenticado coincide con el dominio visible en el campo «De». Esa coincidencia se llama alineación.

Un error común es dejar p=none indefinidamente. Sirve para empezar, pero no protege: los correos falsos se siguen entregando.

5. Cómo revisar el estado de su dominio

La forma más rápida es el análisis gratuito de Kryptasec, que consulta estos registros desde información pública y le muestra un resultado claro. Si prefiere comprobarlo a mano, escriba esto en una consola de Windows, macOS o Linux, cambiando sudominio.com por su dominio:

nslookup -type=TXT sudominio.com
nslookup -type=TXT _dmarc.sudominio.com
nslookup -type=TXT google._domainkey.sudominio.com

Interprete el resultado así:

• Si el primero no muestra un registro que empiece por v=spf1, no tiene SPF.
• Si el segundo no devuelve nada, no tiene DMARC.
• Si el tercero no devuelve nada, puede que su selector DKIM tenga otro nombre. Pregunte a su proveedor de correo cuál usa.
• Si encuentra +all, más de un registro SPF o p=none sin plan de cambio, hay que corregirlo.

6. Plan para corregirlo en cuatro pasos

1. Haga un inventario. Anote todos los servicios que envían correo con su dominio: su proveedor de correo, facturación, marketing, formularios web y CRM.
2. Publique SPF y active DKIM para cada uno de esos servicios.
3. Publique DMARC en p=none con una dirección para informes. Durante dos a cuatro semanas revise quién envía correo en su nombre y corrija lo legítimo que falle.
4. Endurezca la política de forma gradual: primero p=quarantine y luego p=reject, cuando los informes muestren que sus envíos legítimos pasan.

Los cambios de DNS pueden tardar desde unos minutos hasta unas horas en aplicarse, y en algunos casos hasta 48 horas según el TTL del registro.

7. Errores frecuentes

• Publicar dos registros SPF en lugar de combinarlos en uno.
• Superar las 10 consultas DNS de SPF por añadir demasiados include.
• Olvidar un servicio legítimo, como el de facturación, y pasar a p=reject: sus propios correos dejarán de llegar.
• Dejar DMARC en p=none sin revisar nunca los informes.
• Proteger solo el dominio principal y olvidar los dominios secundarios. Un dominio que no envía correo debe publicar v=spf1 -all y una política DMARC p=reject.

8. Cómo le ayuda Kryptasec Shield

Kryptasec Shield revisa SPF, DKIM y DMARC junto con certificados, DNS, reputación y dominios parecidos al suyo, y le entrega un índice de riesgo de 0 a 100 con el paso exacto para corregir cada hallazgo. Todo desde información pública y sin instalar nada. Puede empezar con el análisis gratuito.

Analizar mi dominio gratis

Preguntas frecuentes

¿Necesito SPF, DKIM y DMARC, o basta con uno?

Conviene tener los tres. SPF y DKIM verifican el mensaje por caminos distintos y DMARC decide qué hacer cuando fallan. Sin DMARC, los servidores receptores no saben cómo tratar los correos falsos de su dominio.

¿Protege DMARC con p=none?

No bloquea nada, solo genera informes. Para impedir la suplantación debe llegar a p=quarantine o p=reject.

¿Puedo tener más de un registro SPF?

No. Un dominio debe tener un único registro SPF. Si necesita autorizar varios servicios, combínelos en un solo registro con varios include.

¿Cuánto tarda en aplicarse un cambio de DNS?

Normalmente entre unos minutos y unas horas. En algunos casos puede tardar hasta 48 horas, según el TTL del registro.

¿Cambia algo si uso Google Workspace o Microsoft 365?

Lo facilita. Ambos le indican en su consola de administración qué registros publicar para SPF y DKIM. DMARC lo publica usted en el DNS de su dominio.