8 min de lectura<\/p>\n
Los correos de su empresa llevan semanas acabando en la carpeta de spam de los clientes. El administrador de IT ha revisado todo, el servidor de correo funciona correctamente, pero Google sigue descartando los mensajes. El motivo es casi siempre el mismo: autenticaci\u00f3n de correo electr\u00f3nico ausente o mal configurada. Desde febrero de 2024, Google y Yahoo exigen DMARC para todos los remitentes masivos. Desde noviembre de 2025, Gmail rechaza categ\u00f3ricamente los correos no conformes. Quien no tenga SPF, DKIM y DMARC correctamente configurados no solo pierde entregabilidad, sino que convierte su dominio en una herramienta de phishing para los atacantes.<\/strong><\/p>\n La autenticaci\u00f3n de correo electr\u00f3nico responde a una pregunta sencilla: \u00bfest\u00e1 autorizado el servidor que env\u00eda este correo para hacerlo en nombre de este dominio? Sin autenticaci\u00f3n, cualquier servidor de correo puede enviar mensajes con la direcci\u00f3n de su dominio. Correos de phishing, facturas falsas, instrucciones de fraude del CEO… todo es posible porque el protocolo SMTP no tiene verificaci\u00f3n de remitente integrada.<\/p>\n Los tres protocolos SPF, DKIM y DMARC resuelven este problema en diferentes niveles. Se complementan mutuamente y solo son verdaderamente eficaces en conjunto. Una empresa que utiliza \u00fanicamente SPF sin DKIM y DMARC ha completado el trabajo a medias y apenas se beneficia de la inversi\u00f3n.<\/p>\n SPF (Sender Policy Framework): \u00bfqui\u00e9n puede enviar?<\/p>\n SPF define en un registro DNS TXT qu\u00e9 direcciones IP y servidores est\u00e1n autorizados a enviar correos electr\u00f3nicos para su dominio. El servidor receptor comprueba en cada correo entrante si la IP del servidor remitente aparece en el registro SPF del dominio del remitente. Si no es as\u00ed, el correo puede marcarse como sospechoso o rechazarse. Importante: SPF tiene un l\u00edmite de m\u00e1ximo 10 consultas DNS. Las empresas con muchos proveedores externos (CRM, bolet\u00edn informativo, sistema de tickets) superan r\u00e1pidamente este l\u00edmite. La soluci\u00f3n son las herramientas de aplanamiento de SPF o la consolidaci\u00f3n de la infraestructura de env\u00edo.<\/p>\n<\/div>\n<\/div>\n DKIM (DomainKeys Identified Mail): \u00bfel contenido no ha sido modificado?<\/p>\n DKIM a\u00f1ade una firma criptogr\u00e1fica a cada correo saliente. El servidor remitente firma los campos de cabecera definidos y el cuerpo con una clave privada. La clave p\u00fablica se publica como registro DNS. El servidor receptor verifica la firma con la clave p\u00fablica y puede determinar si el correo fue modificado durante el transporte. DKIM no solo protege la identidad del remitente, sino tambi\u00e9n la integridad del contenido. Esto es especialmente relevante para sectores con requisitos de cumplimiento en los que debe acreditarse la inalterabilidad de las comunicaciones comerciales.<\/p>\n<\/div>\n<\/div>\n DMARC (Domain-based Message Authentication, Reporting and Conformance): \u00bfqu\u00e9 ocurre en caso de infracci\u00f3n?<\/p>\n DMARC combina SPF y DKIM con una pol\u00edtica que indica al servidor receptor qu\u00e9 debe hacer con los correos que no superen ninguna de las dos comprobaciones. Los tres niveles de pol\u00edtica son: none (solo observar e informar), quarantine (enviar los correos sospechosos a la carpeta de spam) y reject (rechazar los correos por completo). Adem\u00e1s, DMARC ofrece informes: los reportes diarios muestran qui\u00e9n env\u00eda correos en su nombre, qu\u00e9 correos superan SPF y DKIM y cu\u00e1les no. Estos informes son muy valiosos para identificar la shadow IT y los proveedores externos no autorizados.<\/p>\n<\/div>\n<\/div>\n<\/div>\n SPF y DKIM por s\u00ed solos no son suficientes. Sin DMARC no existe ninguna pol\u00edtica que indique al servidor receptor qu\u00e9 debe hacer ante un fallo de autenticaci\u00f3n. Esto significa que incluso con SPF y DKIM correctamente configurados, un atacante puede enviar correos con una direcci\u00f3n de remitente falsificada que no supere ninguna de las dos comprobaciones, y el servidor receptor decidir\u00e1 por su cuenta qu\u00e9 hacer con ellos.<\/p>\n 64 %<\/p>\n de los dominios de correo tienen un registro DMARC en 2026. Pero solo el 4 por ciento aplica la pol\u00edtica m\u00e1s estricta (reject). El resto solo observa.<\/p>\n 4,88 millones de USD<\/p>\n coste medio de una brecha por phishing en 2025. El correo electr\u00f3nico sigue siendo el principal vector de ataque para el phishing y el fraude del CEO.<\/p>\n 41 %<\/p>\n de los bancos no tienen protecci\u00f3n DMARC. Especialmente en sectores regulados, existe una brecha peligrosa.<\/p>\n Fuentes: EasyDMARC Adoption Report 2026, IBM Cost of a Data Breach 2025, PowerDMARC Security Trends 2026<\/p>\n<\/div>\n La oleada de aplicaci\u00f3n de los grandes proveedores de correo ha aumentado enormemente la urgencia. Google y Yahoo hicieron obligatorio DMARC en febrero de 2024 para los remitentes masivos. Gmail fue un paso m\u00e1s all\u00e1 en noviembre de 2025 y comenz\u00f3 a rechazar directamente los correos no conformes en lugar de simplemente marcarlos. Microsoft sigui\u00f3 en mayo de 2025 con Outlook.com y Microsoft 365. Quien no tenga un registro DMARC v\u00e1lido corre el riesgo de que sus correos comerciales simplemente dejen de llegar.<\/p>\n Para las empresas hay un aspecto adicional a considerar: el spoofing de dominio es una herramienta preferida para el fraude del CEO y el fraude de facturas. Un atacante que puede enviar correos en nombre de su dominio porque no hay un DMARC reject activo puede llegar a sus clientes con facturas falsas o instrucciones de pago. El da\u00f1o reputacional de un ataque de este tipo supera con creces el coste de configurar DMARC. Y el perjuicio no afecta solo a la propia empresa: los clientes y socios que caen en los correos falsificados tambi\u00e9n sufren p\u00e9rdidas econ\u00f3micas y pierden la confianza en su marca.<\/p>\n Los protocolos no son complejos, pero su implementaci\u00f3n tiene trampas. Los siguientes cinco errores causan la mayor\u00eda de los problemas en las empresas medianas.<\/p>\n SPF con m\u00e1s de 10 consultas DNS:<\/strong> cada entrada include en el registro SPF genera consultas DNS. Las empresas que utilizan simult\u00e1neamente Salesforce, HubSpot, Mailchimp y Microsoft 365 superan r\u00e1pidamente el l\u00edmite de 10 consultas. El resultado: el registro SPF se ignora por completo. La soluci\u00f3n es el aplanamiento de SPF, en el que las consultas anidadas se resuelven como rangos de IP directos.<\/p>\n Claves DKIM nunca rotadas:<\/strong> las claves DKIM deben cambiarse cada seis a doce meses. Muchas empresas configuran DKIM una vez y olvidan la rotaci\u00f3n. Una clave privada comprometida permite a los atacantes enviar correos v\u00e1lidamente firmados en su nombre.<\/p>\n DMARC directamente en reject:<\/strong> quien inicia DMARC con la pol\u00edtica reject de inmediato arriesga que los correos leg\u00edtimos de proveedores externos sean bloqueados. El camino seguro: empezar con none, analizar los informes durante dos a cuatro semanas, pasar luego a quarantine y despu\u00e9s de otras dos semanas activar reject.<\/p>\n Olvidar los subdominios:<\/strong> DMARC se aplica por defecto solo al dominio principal. Los subdominios como mail.empresa.es o newsletter.empresa.es necesitan su propio registro DMARC o el dominio principal debe configurar el par\u00e1metro sp= (Subdomain Policy). Los atacantes aprovechan espec\u00edficamente los subdominios desprotegidos para el spoofing.<\/p>\n No analizar los informes:<\/strong> los informes DMARC se env\u00edan como XML a la direcci\u00f3n registrada en el registro. Sin una herramienta de an\u00e1lisis, son pr\u00e1cticamente inutilizables. Servicios como dmarcian, EasyDMARC o Valimail visualizan los datos y muestran qu\u00e9 fuentes env\u00edan correos en su nombre. Esta transparencia es el verdadero valor a\u00f1adido de DMARC en modo de monitorizaci\u00f3n.<\/p>\n D\u00eda 1: inventario<\/strong><\/p>\n D\u00eda 2: configurar SPF<\/strong><\/p>\n D\u00eda 3: configurar DKIM<\/strong><\/p>\n D\u00eda 4: iniciar DMARC en modo monitorizaci\u00f3n<\/strong><\/p>\n D\u00edas 5 a 6 semanas: endurecimiento gradual<\/strong><\/p>\n La autenticaci\u00f3n de correo electr\u00f3nico ya no es una buena pr\u00e1ctica opcional, es obligatoria. Quien no tenga un registro DMARC con aplicaci\u00f3n activa arriesga tanto problemas de entregabilidad con Google, Yahoo y Microsoft como el uso indebido de su dominio para ataques de phishing. La configuraci\u00f3n no requiere software costoso ni un proyecto de consultor\u00eda externo. Requiere rigor en el inventario, paciencia en el endurecimiento gradual y la disciplina de analizar los informes con regularidad.<\/p>\n Empiece hoy con una comprobaci\u00f3n SPF de su dominio principal. Verifique si hay una clave DKIM publicada. Y si no existe ning\u00fan registro DMARC: config\u00farelo con p=none y una direcci\u00f3n de notificaciones. Los propios informes le mostrar\u00e1n qui\u00e9n env\u00eda correos en su nombre. El resultado suele ser sorprendente y casi siempre requiere acci\u00f3n.<\/p>\n Un \u00faltimo apunte para las empresas que ya tienen SPF y DKIM configurados pero dudan con DMARC: el modo de monitorizaci\u00f3n (p=none) no tiene ning\u00fan efecto sobre la entrega de sus correos. Solo recopila datos. No hay ning\u00fan motivo para posponer este paso. La transparencia que ofrecen los informes DMARC es ya en s\u00ed misma una mejora de seguridad, incluso antes de que se bloquee el primer correo.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n Sin DMARC, los atacantes pueden enviar correos en nombre de su dominio sin que los servidores receptores tengan una pol\u00edtica para bloquearlos. Desde noviembre de 2025, Gmail rechaza los correos masivos no conformes. Microsoft 365 sigui\u00f3 en mayo de 2025. Sus correos comerciales pueden acabar en spam o ser rechazados por completo, mientras que los correos de phishing con su dominio llegan sin obst\u00e1culos.<\/p>\n<\/details>\n Primero SPF, luego DKIM, luego DMARC. SPF es el punto de entrada m\u00e1s sencillo y solo requiere un registro DNS. DKIM necesita un par de claves y configuraci\u00f3n en el servidor de correo. DMARC requiere que al menos uno de los otros dos protocolos funcione, preferiblemente ambos. Inicie siempre DMARC con p=none y endur\u00e9zca gradualmente.<\/p>\n<\/details>\n El est\u00e1ndar SPF permite un m\u00e1ximo de 10 consultas DNS por verificaci\u00f3n. Cada entrada include en su registro SPF genera al menos una consulta. Las empresas que utilizan muchos servicios de terceros para el env\u00edo de correo superan r\u00e1pidamente este l\u00edmite. Si se supera, el registro SPF completo se ignora, lo cual es peor que no tener SPF. La soluci\u00f3n es el aplanamiento de SPF o la consolidaci\u00f3n de la infraestructura de env\u00edo.<\/p>\n<\/details>\n La configuraci\u00f3n t\u00e9cnica lleva un d\u00eda. Hasta que la pol\u00edtica reject est\u00e9 activa y sea segura, pasan cuatro a seis semanas. Durante ese tiempo, DMARC funciona en modo monitorizaci\u00f3n (p=none) y recopila informes sobre qui\u00e9n env\u00eda correos en su nombre. Esta fase es crucial para identificar los proveedores externos leg\u00edtimos y no bloquearlos accidentalmente.<\/p>\n<\/details>\n Para la configuraci\u00f3n, no. SPF, DKIM y DMARC son registros DNS que pueden configurarse con cualquier proveedor DNS. Para el an\u00e1lisis de los informes DMARC s\u00ed se recomienda encarecidamente una herramienta de an\u00e1lisis. Los informes llegan como archivos XML y son dif\u00edcilmente aprovechables sin visualizaci\u00f3n. Servicios como dmarcian, EasyDMARC, Valimail o PowerDMARC ofrecen paneles claros desde aproximadamente 100 euros al a\u00f1o para peque\u00f1as empresas.<\/p>\n<\/details>\nLo m\u00e1s importante en resumen<\/h2>\n
\n
Tres protocolos, un objetivo: \u00bfqui\u00e9n puede enviar correos en su nombre?<\/h2>\n
SPF, DKIM y DMARC en comparaci\u00f3n<\/h2>\n
\n\n
\n \nCriterio<\/th>\n SPF<\/th>\n DKIM<\/th>\n DMARC<\/th>\n<\/tr>\n<\/thead>\n \n Qu\u00e9 se verifica<\/td>\n IP del servidor remitente<\/td>\n Firma criptogr\u00e1fica<\/td>\n Alineaci\u00f3n SPF + DKIM<\/td>\n<\/tr>\n \n Protecci\u00f3n contra<\/td>\n Servidores no autorizados<\/td>\n Manipulaci\u00f3n de contenido<\/td>\n Spoofing de dominio<\/td>\n<\/tr>\n \n Tipo de registro DNS<\/td>\n TXT<\/td>\n TXT (CNAME en algunos proveedores)<\/td>\n TXT<\/td>\n<\/tr>\n \n Esfuerzo de configuraci\u00f3n<\/td>\n Bajo (1 registro DNS)<\/td>\n Medio (par de claves + configuraci\u00f3n)<\/td>\n Medio a alto (ajuste de pol\u00edtica)<\/td>\n<\/tr>\n \n Error m\u00e1s frecuente<\/td>\n M\u00e1s de 10 consultas DNS<\/td>\n Olvidar la rotaci\u00f3n de claves<\/td>\n Pasar directamente a reject en lugar de hacerlo gradualmente<\/td>\n<\/tr>\n \n Adopci\u00f3n 2026<\/td>\n 93 %<\/td>\n 90 %<\/td>\n 64 % (solo 4 % reject)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Por qu\u00e9 DMARC es el componente cr\u00edtico<\/h2>\n
Los errores m\u00e1s frecuentes en la configuraci\u00f3n<\/h2>\n
Checklist: configurar la autenticaci\u00f3n de correo en 5 d\u00edas<\/h2>\n
\n
\n
\n
\n
\n
Conclusi\u00f3n: tres registros DNS que protegen su dominio<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfQu\u00e9 ocurre si no configuro DMARC?<\/strong><\/summary>\n
\u00bfEn qu\u00e9 orden configuro SPF, DKIM y DMARC?<\/strong><\/summary>\n
\u00bfQu\u00e9 es el l\u00edmite de 10 consultas DNS de SPF?<\/strong><\/summary>\n
\u00bfCu\u00e1nto tiempo tarda DMARC en ser efectivo?<\/strong><\/summary>\n
\u00bfNecesito una herramienta especial para DMARC?<\/strong><\/summary>\n
Lecturas recomendadas<\/h2>\n
\n