SPF, DKIM y DMARC explicados para pequeñas empresas

Si sus clientes le dicen que sus correos llegan a la carpeta de spam, o alguien recibió una factura falsa que parecía venir de su empresa, la causa suele ser la misma: su dominio no está demostrando que su correo es auténtico. Tres registros lo resuelven. Tienen nombres poco amigables (SPF, DKIM y DMARC), pero la idea detrás de ellos es sencilla.

En este artículo explicamos qué hace cada uno, por qué los grandes proveedores de correo ahora los esperan y cómo configurarlos sin afectar su propio correo.

Por qué el correo necesita pruebas

El correo electrónico se diseñó hace décadas sin ninguna forma integrada de verificar quién envía un mensaje. Cualquiera puede poner cualquier dirección en el campo "De", igual que cualquiera puede escribir cualquier remitente en un sobre. Los delincuentes aprovechan esto para enviar facturas, cambios de datos bancarios y mensajes de restablecimiento de contraseña que parecen venir de empresas en las que sus víctimas confían.

SPF, DKIM y DMARC permiten que el sistema de correo que recibe un mensaje compruebe si realmente vino de su dominio, y le indican qué hacer si no fue así.

SPF: quién puede enviar en su nombre

SPF (Sender Policy Framework) es una lista, publicada en el DNS de su dominio, de los servicios autorizados a enviar correo con su dominio. Una pequeña empresa típica incluiría Microsoft 365 o Google Workspace, más una herramienta de boletines, un sistema de facturación o el formulario de contacto de su sitio web.

Cuando llega un mensaje, el servidor que lo recibe comprueba si vino de uno de los servicios de su lista. Los errores de SPF más comunes que vemos son olvidar un servicio que envía en su nombre (y sus mensajes fallan) y tener dos registros SPF separados, lo que invalida toda la verificación.

DKIM: una firma a prueba de alteraciones

DKIM (DomainKeys Identified Mail) agrega una firma digital a cada mensaje que envía su plataforma de correo. La clave pública correspondiente se publica en su DNS. El servidor que recibe el mensaje la usa para confirmar dos cosas: que el mensaje realmente lo envió un sistema autorizado para su dominio y que nadie lo modificó por el camino.

Microsoft 365 y Google Workspace admiten DKIM, pero normalmente hay que activarlo y agregar los registros a su DNS. Muchas empresas que usan Microsoft 365 desde hace años nunca lo han activado.

DMARC: la política que lo une todo

DMARC (Domain-based Message Authentication, Reporting and Conformance) indica a los servidores qué hacer cuando un mensaje que dice venir de su dominio no pasa SPF ni DKIM. Tiene tres políticas posibles:

• p=none: solo monitorear. Entregar el mensaje como siempre, pero enviarme un informe.
• p=quarantine: enviar a spam los mensajes que fallan.
• p=reject: rechazar directamente los mensajes que fallan.

DMARC también le envía informes periódicos que muestran quién está enviando correo con su dominio. Así descubre la herramienta de boletines que nadie recordaba, o a alguien que se hace pasar por usted.

Por qué importa más ahora

Los grandes proveedores de correo empezaron a exigir autenticación. Desde febrero de 2024, Google exige que quien envía alrededor de 5,000 mensajes o más al día a cuentas personales de Gmail pase SPF y DKIM y publique un registro DMARC, y en noviembre de 2025 empezó a aplicar estas reglas con más rigor contra el correo que no cumple (Ayuda de Google Workspace). Otros grandes proveedores han ido en la misma dirección.

La mayoría de las pequeñas empresas envían mucho menos que eso, pero la tendencia es clara: el correo bien autenticado se considera más confiable, y el que no lo está se mira con sospecha.

Cómo configurarlos sin afectar su correo

1. Haga una lista de todos los servicios que envían correo con su dominio. Su plataforma de correo, herramientas de marketing, software de facturación y contabilidad, los formularios de su sitio web, su sistema telefónico y los escáneres o copiadoras que envían documentos por correo.
2. Publique un único registro SPF correcto que los incluya a todos.
3. Active DKIM en Microsoft 365 o Google Workspace, y en cualquier otro servicio que lo admita.
4. Publique un registro DMARC con p=none y una dirección para recibir los informes.
5. Revise los informes durante algunas semanas y corrija cualquier servicio legítimo que esté fallando.
6. Pase a p=quarantine y luego a p=reject cuando todo lo legítimo pase la verificación.
7. Vuelva a revisar cada vez que agregue una herramienta que envíe correo, para que no empiece a llegar a spam.

El salto del paso 4 al paso 6 es donde la gente se mete en problemas. Pasar directamente a una política estricta sin revisar los informes es la forma más rápida de que rechacen sus propias facturas.

Cómo puede ayudarle CyberArm

Configuramos y mantenemos SPF, DKIM y DMARC como parte de nuestra administración de Microsoft 365 y Google Workspace, y también como un proyecto único de Renovación de Seguridad del Correo para empresas que solo quieren que quede bien hecho. Encontramos todos los servicios que envían con su dominio, publicamos los registros, revisamos los informes de DMARC y endurecemos la política paso a paso, para que su correo se entregue y los impostores queden bloqueados.

En resumen

SPF, DKIM y DMARC son algunas de las mejoras de seguridad más económicas que puede hacer una pequeña empresa, y además ayudan a que su correo legítimo llegue. Si no sabe si su dominio los tiene, o si están bien configurados, nuestra evaluación gratuita de TI y seguridad revisa la seguridad de su correo y de los inicios de sesión, y le entrega un Resumen Ejecutivo por escrito con las correcciones más importantes.