Correo de empresa · SPF, DKIM y DMARC
Correos falsos a nombre de su empresa: por qué llegan y cómo se frenan
Llegan porque el correo, por diseño, deja que cualquiera escriba el nombre de otro en el remitente. Se frena con tres registros que se publican en el dominio: SPF dice qué servidores pueden enviar por usted, DKIM firma cada correo suyo y DMARC le pide a Gmail, Outlook y los demás que rechacen lo que no pase esas pruebas. Se hace por etapas, para no bloquear su propio correo.
En palabras simples
Los tres registros, sin jerga
SPF: la lista de quién puede enviar
Un registro en su dominio que dice «mis correos salen de estos servidores». Si un correo con su nombre sale de otro lado, el que lo recibe lo nota. Tiene que incluir todo lo que envía por usted: su correo, la web, el sistema de facturas, la herramienta de boletines.
DKIM: la firma de cada correo
Su servidor de correo firma cada mensaje con una llave secreta, y la llave para comprobarlo se publica en el dominio. Si alguien cambia el mensaje en el camino o lo inventa desde fuera, la firma no cuadra.
DMARC: la orden de qué hacer
Le dice al que recibe qué hacer con un correo que usa su dominio y no pasa las pruebas: solo informarle, mandarlo a spam o rechazarlo. Y le pide que le envíe reportes de quién está mandando correo con su nombre.
Paso a paso
En este orden, para no bloquear su propio correo
- Haga la lista de lo que envía con su dominio. El correo de la oficina, la tienda en línea, el sistema de facturas, el CRM, la herramienta de boletines. Lo que se quede fuera de la lista es lo primero que se va a bloquear después.
- Publique el SPF. Un solo registro con todos esos servicios. Dos registros SPF en el mismo dominio se anulan entre sí, y es un error más común de lo que parece.
- Active DKIM en cada servicio que envía. Cada uno le da su propio registro para publicar: Google Workspace, Microsoft 365, su hosting, su herramienta de boletines.
- Publique DMARC en modo de observación. Al principio solo pide reportes, sin bloquear nada. Así se ve qué envíos legítimos todavía no pasan, sin que nadie deje de recibir sus correos.
- Lea los reportes y corrija. Durante unas semanas aparecen los servicios que se olvidaron y, casi siempre, alguien que usa su dominio sin permiso.
- Endurezca la regla. Primero «a spam» y después «rechazar». Desde ese momento, un correo falso con su dominio exacto ya no llega a la bandeja de entrada de quien lo revise.
Google lo explica en sus guías oficiales para SPF, DKIM y DMARC, y en sus directrices para remitentes: quien envía correo a cuentas de Gmail necesita al menos SPF o DKIM, y quien envía en grandes cantidades, los tres.
Sin letra pequeña
Cómo comprobarlo y lo que no resuelve
Compruébelo en un minuto
Mándese un correo a una cuenta de Gmail, ábralo y elija «Mostrar original» en el menú de los tres puntos. Arriba aparecen SPF, DKIM y DMARC: los tres deben decir PASS.
Revise el dominio por fuera
La herramienta gratuita Check MX de Google revisa los registros de su dominio y le dice cuáles faltan o están mal escritos.
Dominios parecidos
DMARC protege su dominio exacto. No impide que alguien registre uno casi igual, con una letra cambiada, y escriba desde ahí. Contra eso sirve avisar a sus clientes de cuál es su dirección real.
Cuentas robadas
Si le roban la clave de un buzón suyo, el correo falso sale de su propio servidor y pasa las tres pruebas. Ahí lo que protege es la verificación en dos pasos y una clave distinta para cada cuenta.
Solo cuenta si lo revisan
Los grandes servicios de correo aplican DMARC. Un servidor de correo pequeño o mal configurado puede no revisarlo, y ahí un correo falso todavía puede entrar.
Su correo también llega mejor
Con los tres registros bien puestos, sus facturas y avisos tienen menos probabilidad de caer en spam, porque el que recibe puede comprobar que de verdad son suyos.
Lo que hago
Lo configuro con usted, sin dejarle el correo caído
Administro servidores con su propio correo, como el que envía desde info@neracosu.com, y ahí se publican y se mantienen estos registros. Con su dominio el trabajo es este:
- Inventario. Reviso qué servicios envían correo con su nombre y qué registros tiene hoy, y se lo dejo por escrito.
- Registros publicados por etapas. SPF, DKIM en cada servicio y DMARC en observación, con los reportes llegando a un buzón que no se le llene.
- Lectura de reportes. Le traduzco qué está pasando con su dominio y le digo cuándo se puede pasar a rechazar sin riesgo.
- Lo que rodea al correo. Verificación en dos pasos, claves por cuenta y, si su servidor tuvo problemas, lo que explico en qué hacer si hackearon su web.
Se lo digo de una vez: estos tres registros no evitan que alguien le escriba a sus clientes desde un dominio parecido ni que un empleado caiga en un engaño. Lo que sí hacen es que nadie pueda usar su dominio exacto, y eso es lo primero que revisa cualquiera que sospecha de un correo. Pasar a «rechazar» sin haber leído los reportes es la forma más rápida de que sus propias facturas dejen de llegar.
Preguntas frecuentes
Lo que suelen preguntarme
¿Cómo sé si alguien está mandando correos con mi dominio?
Con DMARC en modo de observación: los servicios de correo le mandan reportes con cada servidor que envió mensajes usando su dominio y si pasaron las pruebas. Ahí aparecen tanto los servicios suyos que faltaba configurar como los envíos que no son suyos.
¿Si pongo DMARC en «rechazar» puedo dejar de recibir correo?
Recibir, no: DMARC solo afecta a los correos que salen con su dominio. Lo que sí puede pasar es que sus propios envíos dejen de llegar si algún servicio que manda en su nombre (facturas, boletines, la tienda) no está en el SPF o no firma con DKIM. Por eso primero se observa y después se endurece.
¿Esto evita que mis empleados caigan en un engaño?
No del todo. Evita que alguien use su dominio exacto, pero un correo desde un dominio parecido o desde una cuenta gratuita con el nombre de su empresa sigue llegando. Para eso sirve que su equipo sepa revisar la dirección real del remitente y confirmar por otra vía cualquier pedido de pago o cambio de cuenta.
Uso Gmail o Outlook de empresa, ¿no viene configurado?
Google Workspace y Microsoft 365 dan las herramientas, pero los registros se publican en su dominio, y eso lo hace quien administra el dominio. Es común encontrar el SPF puesto, DKIM sin activar y DMARC sin publicar. La guía de Google sobre cómo implementar DMARC explica el orden.
¿Necesito cambiar de proveedor de correo?
Casi nunca. SPF, DKIM y DMARC funcionan con cualquier proveedor serio, también con el correo que viene incluido en un hosting. Lo único que se necesita es acceso a la zona DNS de su dominio, que es donde se publican los registros.
Mis correos legítimos caen en spam, ¿tiene que ver?
Muchas veces sí. Si su dominio no tiene SPF ni DKIM, Gmail y los demás no pueden comprobar que el correo es suyo y lo tratan con desconfianza. Las directrices de Google para remitentes dicen qué exige para entregar el correo.
¿Cuánto cuesta?
Depende de cuántos dominios tenga y de cuántos servicios envían correo en su nombre. Se lo cotizo por escrito después de revisar sus registros. Si además necesita un sistema nuevo, puede estimarlo con la calculadora.
¿Le llegan correos falsos con el nombre de su empresa?
Escríbame por WhatsApp con su dominio y con qué servicios envía correo, y le digo qué registros le faltan y por dónde empezar.