Una guía publicada recientemente recopila un procedimiento paso a paso para desplegar SPF, DKIM y DMARC con el objetivo de reducir la suplantación de remitentes (email spoofing) y mejorar la entregabilidad del correo. Estos tres estándares trabajan juntos para verificar que los mensajes proceden de orígenes autorizados y para dar instrucciones a los receptores sobre qué hacer cuando un correo no pasa las comprobaciones.
Qué son SPF, DKIM y DMARC y por qué importan
SPF (Sender Policy Framework) es un registro DNS que lista los servidores autorizados a enviar correo en nombre de un dominio. Cuando un servidor receptor comprueba SPF, compara la IP remitente con las entradas del registro para decidir si aceptarlo.
DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada mensaje. El servidor de envío firma ciertos encabezados y el cuerpo con una clave privada; el receptor usa la clave pública, publicada en DNS, para verificar que el mensaje no fue modificado y que proviene del dominio indicado.
DMARC (Domain-based Message Authentication, Reporting and Conformance) coordina SPF y DKIM: indica a los servidores receptores qué hacer cuando un mensaje falla las comprobaciones (ninguna acción, cuarentena o rechazo) y permite recibir informes agregados y forenses sobre fallos de autenticación.
Resumen práctico de los pasos esenciales
- Auditar el flujo de correo: identifica todos los sistemas y servicios que envían correo para tu dominio: servidores propios, aplicaciones, plataformas de marketing, servicios de facturación y DNS de terceros.
- Crear o actualizar el registro SPF: incluye únicamente las IP o los mecanismos (por ejemplo, include: de servicios externos) necesarios. Evita registros demasiado largos y usa mecanismos como include y ip4/ip6 correctamente.
- Habilitar DKIM en cada servicio: genera pares de claves (privada/publica) y publica la clave pública en un registro DNS TXT bajo un selector. Configura el servidor o proveedor para firmar los correos con la clave privada y revisa que las firmas sean válidas.
- Publicar un registro DMARC inicial: comienza con una política conservadora (p=none) para recopilar informes sin afectar la entrega. Configura una dirección para recibir los informes agregados (rua) y, opcionalmente, forenses (ruf).
- Analizar los informes: revisa los informes DMARC para detectar qué fuentes fallan SPF/DKIM y ajustar registros o permisos en esos servicios.
- Aplicar políticas más estrictas: cuando estés seguro de que todas las fuentes legítimas pasan las comprobaciones, cambia DMARC a p=quarantine y, finalmente, a p=reject para bloquear suplantaciones.
- Mantenimiento y rotación de claves: programa la rotación periódica de las claves DKIM y revisa el SPF cuando incorpores nuevos remitentes.
- Documentación y pruebas: documenta las decisiones DNS y realiza pruebas con herramientas de verificación (verificación de registros DNS, envío de correos de prueba y comprobación de cabeceras).
Qué cambia y a quién afecta
Implementar correctamente SPF, DKIM y DMARC reduce la probabilidad de que atacantes suplantadores envíen correos en nombre de tu dominio, protege la reputación de la marca y mejora la entregabilidad hacia buzones exigentes (por ejemplo, proveedores que priorizan dominios autenticados). Afecta a administradores de servidores, equipos de operaciones y a cualquier responsable que use servicios de envío de correo vinculados al dominio.
Recomendaciones prácticas para administradores
- Empieza con DMARC en modo de monitorización (p=none) para recopilar datos antes de aplicar cuarentena o rechazo.
- Asegúrate de que todos los servicios externos que envían correo en tu nombre estén incluidos en el SPF o firmen con DKIM usando claves publicadas en tu DNS.
- Automatiza la recopilación y análisis de informes DMARC con herramientas que conviertan los XML de informes a informes legibles; esto facilita detectar remitentes no autorizados.
- Considera habilitar BIMI si tu objetivo es también mostrar un logo verificado en clientes compatibles; BIMI requiere DMARC con política estricta.
Nota: esta noticia resume una guía práctica publicada el 16 de octubre de 2026. No incluye comandos ni registros exactos; aplica las recomendaciones a la configuración específica de cada dominio y proveedor.
Lee también:
- ICANN encarga a PwC la verificación de solicitudes para la nueva ronda de gTLD de 2026
- Propietaria debe cambiar 211 cuentas tras la terminación de dominios tercer nivel .name
Fuente: https://tech-insider.org/
