La importancia de los registros SPF, DKIM y DMARC en la configuración del DNS

Aunque este no es un blog técnico, creemos importante abordar algunos temas que impactan directamente la seguridad y reputación digital de las organizaciones. Uno de esos temas es la autenticación del correo electrónico.

Muchas empresas configuran su dominio y cuentas de correo sin saber que, si no se toman ciertas precauciones desde el DNS, están dejando la puerta abierta a múltiples riesgos como:

• La suplantación de identidad (spoofing), donde un tercero envía correos haciéndose pasar por tu dominio.
• El uso de tu dominio en campañas de phishing sin que lo sepas.
• Que tus correos legítimos lleguen a spam o sean rechazados por servicios como Gmail o Outlook.

Para evitar estos escenarios, existen tres registros clave que deben configurarse en el DNS del dominio: SPF, DKIM y DMARC. A continuación, te explicamos en qué consiste cada uno y por qué son esenciales.

1. SPF (Sender Policy Framework)

El registro SPF permite especificar qué servidores están autorizados a enviar correos en nombre de tu dominio. Esto ayuda a los servidores receptores a identificar si un mensaje proviene de una fuente legítima o no.

Ejemplo de registro SPF:

v=spf1 include:_spf.ejemploproveedor.com ~all

Si no tienes un SPF válido, es muy probable que tus correos sean marcados como sospechosos o directamente rechazados.

2. DKIM (DomainKeys Identified Mail)

DKIM agrega una firma digital única a cada correo que envías. Esta firma permite al receptor verificar que el mensaje no ha sido alterado y que efectivamente fue enviado desde un servidor autorizado por tu dominio.

Ejemplo de registro DKIM:

default._domainkey.domimio.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GC..."

Si DKIM falla, el receptor no puede confiar en la integridad del mensaje.

3. DMARC (Domain-based Message Authentication, Reporting and Conformance)

DMARC une las verificaciones de SPF y DKIM y le dice al servidor receptor qué hacer si un mensaje no pasa las validaciones. También permite recibir reportes sobre el uso (o abuso) del dominio en el ecosistema de correo.

Ejemplo de registro DMARC:

_dmarc.domimio.com TXT "v=DMARC1; p=quarantine; rua=mailto:postmaster@domimio.com; adkim=s; aspf=s"

Sin DMARC, cualquier persona podría falsificar tu dominio sin consecuencias claras para el receptor.

¿Por qué son tan importantes estos registros?

• Evitan la suplantación de identidad (phishing y spoofing).
• Mejoran la entregabilidad: menos correos tuyos caerán en spam.
• Protegen la reputación de tu dominio.
• Te dan visibilidad mediante reportes automáticos sobre el uso del dominio.

Recomendación final

Verifica regularmente tu configuración DNS y asegúrate de que estos tres pilares estén correctamente establecidos. Una herramienta como MXToolbox puede ayudarte a comprobarlos en segundos.

Recomendación adicional para el Oficial de Seguridad

Si tu organización cuenta con un responsable de seguridad de la información, asegúrate de que este tema esté incluido dentro de la política de protección del correo corporativo. Además de los controles tecnológicos, es clave monitorear los reportes DMARC para detectar intentos de suplantación y tomar decisiones sobre la política (como pasar de quarantine a reject) basadas en evidencias reales.

Recuerda: proteger el correo es proteger la identidad digital de tu organización.