Generador de SPF y DMARC

Cómo configurar SPF, DKIM y DMARC paso a paso

Configurar la autenticación del correo electrónico es una de las medidas de seguridad con mayor rentabilidad técnica: no requiere costes de licencias, se implementa en unas pocas horas y reduce de forma notable el riesgo de ataques de suplantación de identidad (spoofing), fraudes de factura falsa y ataques dirigidos tipo «fraude del CEO».

El protocolo original del correo electrónico (SMTP) no verifica por sí mismo la identidad de quien envía un mensaje. Para resolver esta debilidad existen tres mecanismos complementarios: SPF (valida qué servidores o IP pueden enviar en su nombre), DKIM (garantiza mediante firma criptográfica que el mensaje no ha sido manipulado en tránsito) y DMARC (establece la política que deben aplicar los destinatarios ante correos no autorizados y le reporta los incidentes).

A continuación, detallamos el proceso para implementarlos de forma ordenada, paso a paso y sin riesgo de interrumpir sus comunicaciones habituales.

Paso 1: Hacer inventario de quién envía correo en su nombre

El error más común al desplegar estos registros es ignorar servicios legítimos y terminar bloqueando sus propios correos. Antes de realizar cambios técnicos en el DNS, elabore una lista exhaustiva de todos los sistemas que envían mensajes utilizando su dominio corporativo:

• Su proveedor de correo principal (Microsoft 365, Google Workspace, servidor propio, etc.).
• Plataformas de marketing y boletines (Mailchimp, Brevo, Mailjet).
• Aplicaciones transaccionales: CRM, ERP, pasarelas de facturación o el propio servidor web donde reside su página (formularios de contacto).

Paso 2: Crear y publicar el registro SPF

El registro SPF se publica en el panel DNS de su proveedor de dominio como un registro de tipo TXT en el host raíz (indicado habitualmente con una @ o dejando el campo en blanco).

1. Reúna las directivas de sus remitentes legítimos (por ejemplo, include:_spf.google.com para Google Workspace o include:spf.protection.outlook.com para Microsoft 365).
2. Construya un único registro TXT que contemple todos los orígenes identificados. Por ejemplo: v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
3. Regla de oro: jamás publique más de un registro SPF en el mismo dominio; si lo hace, los servidores receptores invalidarán ambos por defecto.
4. Finalice siempre con ~all (SoftFail) durante la fase inicial. Esto indica a los servidores de destino que marquen los envíos no reconocidos como sospechosos sin llegar a rechazarlos drásticamente.

Paso 3: Configurar y activar DKIM

Mientras que el registro SPF se redacta manualmente, las claves DKIM se generan directamente en la consola de cada servicio emisor:

1. Acceda al panel de administración de su proveedor de correo (por ejemplo, el Centro de administración de Microsoft 365 o la Consola de administración de Google Workspace).
2. Localice la sección de autenticación de correo y solicite la generación de una clave DKIM. El sistema le proporcionará un selector (un prefijo identificativo) y un valor público en forma de registro TXT o CNAME.
3. Diríjase a su zona DNS y cree el registro correspondiente. El nombre del host seguirá la estructura [selector]._domainkey.sudominio.com.
4. Una vez propagado el cambio en el DNS (suele tardar entre unos minutos y un par de horas), vuelva a la consola de su proveedor y active formalmente la firma DKIM. A partir de ese momento, cada correo saliente incorporará una cabecera con firma digital verificable.
5. Repita este procedimiento en las plataformas externas de marketing o facturación que permitan firma propia.

Paso 4: Publicar la política inicial de DMARC

DMARC vincula los resultados de SPF y DKIM y le devuelve visibilidad sobre qué está ocurriendo con su dominio en todo el mundo.

1. Añada un registro TXT en su DNS con el host _dmarc (es decir, el registro responderá a _dmarc.sudominio.com).
2. Introduzca una política inicial estrictamente monitorizadora (p=none): v=DMARC1; p=none; rua=mailto:informes-dmarc@sudominio.com; pct=100;
3. La directiva p=none garantiza que ningún mensaje legítimo será rechazado ni enviado a la carpeta de correo no deseado mientras ajusta la configuración. A cambio, la etiqueta rua enviará resúmenes agregados en formato XML a la dirección de correo indicada, detallando quién envía correos con su nombre y si superan o no la autenticación.

Paso 5: Analizar informes y endurecer las políticas

La implementación no termina con la publicación inicial:

1. Supervise durante dos a cuatro semanas los informes recibidos. Como los archivos XML son complejos de interpretar a simple vista, puede apoyarse en analizadores o visores DMARC en línea.
2. Si detecta envíos corporativos legítimos que fallan (por ejemplo, un software de facturación olvidado), ajuste sus registros SPF o DKIM para alinearlos adecuadamente.
3. Una vez verificado que el 100 % de su tráfico legítimo supera la validación, endurezca la política DMARC de forma progresiva: primero a p=quarantine (enviar a la carpeta de correo no deseado el correo no autorizado) y, finalmente, a p=reject (rechazo total en destino).
4. En este último paso, modifique también el cierre de su registro SPF sustituyendo ~all por -all (Fail estricto).

Con estos pasos completados, su organización protegerá mucho mejor su reputación digital, evitará que terceros suplanten su identidad corporativa frente a clientes o proveedores y asegurará que sus comunicaciones legítimas lleguen sin trabas a la bandeja de entrada.