DMARC, SPF y DKIM: qué son y cómo evitar que suplanten tu correo
Por Jorge Graells · 9 de noviembre de 2026 · 7 min de lectura
SPF, DKIM y DMARC son tres registros DNS que permiten comprobar si un correo que usa tu dominio lo has enviado tú. Bien configurados, frenan los correos falsos con tu dirección exacta. Qué hace cada uno, por qué Outlook los exige y cómo activarlos paso a paso.
DMARC, SPF y DKIM: qué son y cómo evitar que suplanten tu correo
- Tipo
- Artículo
- Autor
- Jorge Graells
- Fecha
- Lectura
- 7 min de lectura
- Materias
Resumen
SPF, DKIM y DMARC son tres registros DNS que permiten comprobar si un correo que usa tu dominio lo has enviado tú. Bien configurados, frenan los correos falsos con tu dirección exacta. Qué hace cada uno, por qué Outlook los exige y cómo activarlos paso a paso.
Un proveedor recibe un correo que dice venir de tu empresa. La dirección del remitente es la vuestra, con vuestro dominio exacto, y el mensaje le pide que a partir de ahora os pague o cobre en una cuenta bancaria nueva. Tú no has enviado nada. Que eso sea posible, o que el servidor que lo recibe lo rechace antes de que nadie lo lea, depende en buena parte de tres registros que casi nadie mira: SPF, DKIM y DMARC.
Son las tres piezas que permiten a un servidor de correo comprobar si un mensaje que dice ser de tu dominio lo es de verdad. Sin ellas, es fácil que cualquiera envíe correos con tu dirección como remitente. Y Microsoft ya las exige a quien manda mucho correo a Outlook.com.
◢¿Qué son SPF, DKIM y DMARC?
El NCSC británico1, el centro nacional de ciberseguridad del Reino Unido, lo resume así en su guía contra la suplantación del correo:
- ▹SPF (Sender Policy Framework) es una lista, publicada en el DNS de tu dominio, de los servidores y direcciones IP que pueden enviar correo en tu nombre.
- ▹DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada mensaje que envías. Quien lo recibe la comprueba con una clave pública que también está en tu DNS, y así sabe que el correo salió de tu dominio y que nadie lo ha modificado por el camino.
- ▹DMARC (Domain-based Message Authentication, Reporting and Conformance) le dice al servidor que recibe qué hacer con los correos que dicen ser tuyos y no pasan esas comprobaciones: dejarlos pasar, mandarlos a spam o rechazarlos. También genera informes para que veas quién está enviando correo con tu dominio.
Los tres son registros de texto en el DNS de tu dominio, el mismo sitio donde está configurada tu web. No hay que instalar nada en los ordenadores de la plantilla.
◢¿Para qué sirve DMARC si ya tengo SPF?
SPF y DKIM por sí solos comprueban cosas, pero no dicen qué hacer cuando la comprobación falla. Esa decisión la toma DMARC. Además, DMARC exige lo que Microsoft llama alineación en las preguntas frecuentes de sus requisitos para remitentes2: que el dominio que ve el destinatario en el remitente coincida con el que han validado SPF o DKIM. Eso es lo que impide que un atacante pase las comprobaciones con un dominio suyo y enseñe el tuyo.
Hay que tener claro el límite. DMARC protege tu dominio exacto. Si alguien registra uno que se le parece, con una letra cambiada o una palabra añadida, ese dominio es suyo y puede configurarlo como quiera. Contra eso sigue haciendo falta que la gente mire bien el remitente, como explico en cómo saber si un correo es phishing.
◢¿Por qué Outlook rechaza correos sin DMARC?
Porque Microsoft lo exige a los grandes remitentes desde mayo de 2025. En su anuncio para Outlook.com2, el servicio de correo personal que incluye las direcciones de hotmail.com, live.com y outlook.com, explicó que los dominios que envían más de 5.000 correos al día deben pasar SPF, pasar DKIM y tener DMARC con al menos la política p=none, alineado con SPF o con DKIM. Según la actualización que hizo el 29 de abril de 2025, los mensajes que no cumplan se rechazan con el error "550; 5.7.515 Access denied".
Si envías menos, no te afecta esa norma, pero Microsoft recomienda lo mismo a todos los remitentes porque protege tu reputación. También aclara que, si mandas correo a través de una empresa externa, por ejemplo una plataforma de boletines, los registros siguen siendo cosa tuya: van en tu dominio, y tienes que coordinarte con el proveedor para que estén bien.
Si alguna vez recibes un rebote con un mensaje sobre autenticación al escribir a una dirección de Hotmail u Outlook, lo primero que conviene revisar son estos tres registros.
◢Cómo configurar DMARC paso a paso
El NCSC recomienda hacerlo poco a poco, porque una política estricta mal puesta puede hacer que tus propios correos legítimos no lleguen. Su plan de implantación3 va por fases.
- ▹Haz inventario de todo lo que envía correo con tu dominio. No solo tu servidor o tu Microsoft 365 o Google Workspace: también la herramienta de boletines de marketing, la de facturación, el CRM, la web que manda avisos. El NCSC aconseja preguntar a cada departamento si usa servicios externos de envío.
- ▹Configura SPF con esos servicios y activa DKIM en cada uno. En el correo en la nube suele ser una opción del panel de administración.
- ▹Publica DMARC en modo observación. Según la guía del NCSC4, es un registro TXT llamado
_dmarc.tudominio.comcon un valor comov=DMARC1;p=none;rua=mailto:informes@tudominio.com. La política p=none no afecta a la entrega de tu correo, solo te manda informes. Según el NCSC, los primeros llegan de los grandes proveedores en las 24 horas siguientes. - ▹Lee los informes y corrige. Verás qué servicios envían en tu nombre y si pasan o fallan. Ahí aparecen los que olvidaste y también quien esté suplantando tu dominio.
- ▹Pasa a p=quarantine. Los correos que fallen irán a la carpeta de spam del destinatario, de donde todavía se pueden recuperar. El NCSC cuenta5 que muchas organizaciones dan este paso después de unas 6 a 8 semanas, y recomienda empezar aplicándolo solo a una parte del correo con la etiqueta pct e ir subiendo.
- ▹Termina en p=reject. Con esta política, los correos falsos se rechazan. Para el NCSC es la mejor forma de evitar la suplantación6, y muchas organizaciones llegan a ella unos tres meses después de la cuarentena.
Antes de cada cambio de política, avisa a marketing y comunicación. Un envío masivo desde una herramienta que no está en tus registros es justo lo que va a fallar.
◢Errores típicos al configurar SPF y DKIM
El más habitual es el límite de consultas de SPF. Según el NCSC7, la comprobación de SPF no puede hacer más de 10 consultas al DNS, y cada include: de un proveedor puede contar varias. Con tres o cuatro servicios en la nube es fácil pasarse, y entonces SPF falla aunque todo parezca bien. El registro, además, no debe pasar de 450 caracteres. La solución que propone el NCSC es repartir los envíos en subdominios, por ejemplo uno para los boletines.
Otro error frecuente es copiar un registro de ejemplo tal cual. Los valores exactos te los da cada proveedor.
En DKIM, si gestionas tú los servidores, el NCSC recomienda claves de 2048 bits y cambiarlas cada 12 meses, según su guía de DKIM8. Y cualquier firma o aviso legal que se añada al pie del correo tiene que añadirse antes de firmar, porque si el mensaje cambia después, la firma deja de valer.
◢¿Y los dominios que no envían correo?
También hay que protegerlos. Muchas empresas registran variantes de su nombre o tienen dominios antiguos sin uso, y cualquiera de ellos puede servir para enviar correos falsos que parecen tuyos. El NCSC recomienda empezar precisamente por ellos9, porque son los más fáciles y no necesitan mantenimiento: un SPF que no autoriza a nadie (v=spf1 -all), un DMARC con p=reject directamente y un registro MX nulo para que no acepten correo.
◢Qué puede hacer cada uno
Si diriges una pyme, no necesitas saber escribir estos registros, pero sí hacer dos preguntas a quien lleve tu informática o tu dominio: si tenéis SPF, DKIM y DMARC, y en qué política está DMARC. Si la respuesta es "no sé" o "p=none desde hace años", hay trabajo pendiente. El NCSC ofrece una comprobación gratuita1 que analiza cómo está configurado un dominio.
Si eres el técnico, sigue el orden de arriba y no saltes a p=reject sin haber leído los informes.
Y para el resto de la plantilla, la lección es otra: un dominio bien protegido frena los correos que usan vuestra dirección exacta, no los que usan una parecida ni los que llegan desde la cuenta real de alguien a quien le han robado la contraseña. Por eso la verificación por otro canal antes de cambiar una cuenta bancaria o hacer un pago urgente sigue siendo imprescindible, como cuento en cómo detectar el fraude del CEO.
Llegar a un DMARC estricto lleva unos meses, casi todos de observación. Enseñar a la gente a desconfiar de lo que no encaja es lo otro que hace falta, y es lo que trabajo en mis formaciones de ciberseguridad para empresas.
Documentos relacionados
- News
Claude Fable 5.2 y Mythos 5.2: qué trae lo nuevo de Anthropic
Anthropic lanza Claude Fable 5.2, abierto a todos con protecciones en ciberseguridad y biología, y Mythos 5.2, el mismo modelo sin esos frenos para organizaciones verificadas. Qué mejora, la parte de ciberseguridad, dónde está y cuánto cuesta.
- Artículo
Deepfake de voz del jefe: cómo comprobar si una llamada es real
Un deepfake de voz imita con IA la voz de una persona concreta, por ejemplo tu jefe, para pedirte un pago urgente. No intentes adivinarlo por el oído: cuelga, llama tú al número que ya tienes y exige que ningún pago se autorice solo por teléfono.
- News
Atacan el hosting mittwald por su servidor MCP para la IA
El proveedor alemán de hosting mittwald sufrió un ataque que entró por el servidor MCP con el que sus clientes conectaban asistentes de IA. Robaron tokens de sesión y comprometieron 56 proyectos. Qué se sabe y qué revisar si usas conectores de IA.