SPF, DKIM y DMARC para autónomos y pymes: que no suplanten tu dominio

Si tu negocio envía correo desde un dominio propio (tunegocio.es), necesitas tres registros DNS: SPF dice qué servidores pueden enviar en tu nombre, DKIM firma cada mensaje y DMARC indica qué hacer con el correo que falla esas comprobaciones. Sin ellos es más fácil que alguien mande facturas o avisos falsos haciéndose pasar por ti, y desde febrero de 2024 Gmail y Yahoo exigen al menos SPF o DKIM a cualquier remitente.

INCIBE lo explica así: quien usa Gmail o Hotmail con su dirección gratuita no tiene que preocuparse, porque la configuración está en manos del proveedor; pero para las empresas con dominio propio, estas herramientas son su barrera contra el uso fraudulento de su dominio.

¿Qué es SPF?

SPF es un registro TXT en el DNS de tu dominio que enumera los servidores autorizados a enviar tu correo. INCIBE lo describe como "un sistema de defensa ante intentos de suplantación de correos": el servidor que recibe un mensaje comprueba si la IP que lo envía está en tu lista.

Lo que dice la norma (RFC 7208) y conviene saber:

• El registro empieza exactamente por v=spf1.
• Solo puede haber uno por dominio. Si publicas dos (algo habitual cuando se añade un segundo proveedor), el resultado es un error permanente y, a efectos prácticos, te quedas sin SPF.
• Máximo 10 consultas DNS sumando los include, a, mx, ptr, exists y redirect. Si te pasas, también da error.
• El final importa: -all declara que cualquier otro servidor no está autorizado; ~all es una señal más débil ("probablemente no autorizado") y el receptor no debería rechazar el correo solo por eso.

¿Qué es DKIM?

DKIM añade a cada correo que envías una firma digital en la cabecera DKIM-Signature. La clave pública para verificarla se publica en tu DNS, en un nombre del tipo selector._domainkey.tunegocio.es (RFC 6376). Según INCIBE, cualquier cambio en el mensaje rompe la firma, de modo que el receptor detecta si lo han manipulado.

Quien activa DKIM es tu proveedor de correo (Google Workspace, Microsoft 365, tu hosting...): él genera las claves y te da el registro que tienes que copiar en el DNS. Google pide claves de al menos 1024 bits y recomienda 2048 si tu proveedor de DNS lo admite.

¿Qué es DMARC y por qué es el que de verdad protege tu marca?

DMARC une SPF y DKIM y añade dos cosas: le dice al servidor que recibe el correo qué hacer cuando falla la comprobación y te envía informes sobre quién está usando tu dominio. Se publica como registro TXT en _dmarc.tunegocio.es (RFC 7489).

La clave es la política, la etiqueta p=:

Otras etiquetas útiles: rua=mailto:... es la dirección a la que llegan los informes agregados (sin ella no recibes ninguno) y pct= aplica la política solo a un porcentaje del correo (por defecto, el 100 %).

DMARC exige además alineación: el dominio que ve el destinatario en el "De:" tiene que coincidir con el que validó SPF o DKIM. En el modo por defecto (relajado), basta con que compartan el dominio principal, así que facturas.tunegocio.es se alinea con tunegocio.es.

¿Qué exigen Gmail y Yahoo?

Desde el 1 de febrero de 2024, según las guías oficiales de ambos:

• Cualquier remitente: SPF o DKIM, y una tasa de spam por debajo del 0,3 %. Google pide también registros DNS directos e inversos válidos, envío con TLS y no suplantar el "De:". Si no cumples, tus correos pueden ir a spam o ser rechazados.
• Quien envía más de 5.000 mensajes al día a Gmail (o es remitente masivo para Yahoo): SPF y DKIM, DMARC con al menos p=none, "De:" alineado, y baja de suscripción con un clic en los correos comerciales. Yahoo exige atender las bajas en dos días.

Para un autónomo que manda presupuestos y facturas, lo práctico es cumplir el nivel alto aunque no llegue a 5.000 correos: cuesta lo mismo y evita sorpresas.

¿En qué orden lo activo?

1. Haz inventario de todo lo que envía correo con tu dominio: el correo del día a día, la herramienta de facturación, la tienda online, el boletín, la centralita que manda avisos.
2. Publica un único SPF que incluya a todos esos servicios (cada uno indica su include en su ayuda). Comprueba que no superas las 10 consultas.
3. Activa DKIM en cada servicio que lo permita y copia sus registros en el DNS.
4. Publica DMARC en modo vigilancia, por ejemplo v=DMARC1; p=none; rua=mailto:[email protected], y lee los informes durante unas semanas para ver si algún envío legítimo falla.
5. Endurece la política cuando los envíos legítimos pasen: primero p=quarantine (puedes empezar con pct= bajo) y después p=reject. Con none, el correo falso en tu nombre sigue llegando.
6. Si tu correo lo gestiona un proveedor, INCIBE aconseja preguntarle si aplica estas protecciones.

Puedes revisar cada paso con nuestras herramientas gratuitas: comprobar SPF (sigue los include y cuenta las consultas), comprobar DKIM y comprobar DMARC (muestra tu política y qué significa).

¿Con esto ya no me pueden suplantar?

No del todo. INCIBE advierte de que los delincuentes registran dominios parecidos al tuyo (typosquatting, por ejemplo tunegoclo.es), y DMARC solo protege tu dominio exacto. Tampoco sirve si roban la contraseña de una cuenta de correo real de tu empresa: para ese caso, INCIBE tiene una guía de actuación ante el fraude por email comprometido.

Por eso, además de configurar el dominio, acuerda con clientes y proveedores una regla simple: un cambio de número de cuenta nunca se acepta solo por email; se confirma por teléfono, llamando a un número que ya tengas. Tienes este y otros fraudes frecuentes en la guía antiestafas para autónomos y pymes.

Si dudas o ya ha ocurrido, el 017 de INCIBE atiende también a empresas y profesionales que usan internet en su actividad.