SPF, DKIM y DMARC explicados: frena la suplantación y llega a la bandeja de entrada

• SPF enumera los servidores autorizados a enviar correo por tu dominio.
• DKIM firma cada mensaje; la clave pública para verificarlo se publica en el DNS.
• DMARC indica a los receptores qué hacer cuando fallan SPF y DKIM y te envía informes. Solo se supera si coincide el dominio de la dirección De visible.
• Empieza con p=none, lee los informes y pasa a quarantine y reject cuando todos los remitentes legítimos lo superen.

Desde febrero de 2024, Gmail y Yahoo exigen SPF o DKIM a todos los remitentes. Los remitentes masivos (para Google, más de 5000 mensajes al día a direcciones de Gmail) necesitan SPF, DKIM y un registro DMARC (basta con p=none), un dominio De alineado con SPF o DKIM, baja con un clic en el correo comercial y una tasa de quejas por spam inferior al 0,3 %.

Aunque envíes poco, la falta de registros hace que tu dominio sea fácil de suplantar en ataques de phishing, y los receptores confían menos en el correo de esos dominios.

SPF es un único registro TXT en tu dominio que empieza por v=spf1, enumera los remitentes permitidos y termina con una regla para todos los demás. include: incorpora la lista de un proveedor, ip4:/ip6: añaden tus propios servidores y mx autoriza los servidores MX del dominio.

• Publica exactamente un registro SPF. Dos registros v=spf1 hacen que SPF falle (permerror); únelos en uno.
• SPF puede hacer como máximo 10 consultas DNS (cuenta cada include, a, mx, exists y redirect, también los anidados). Si se supera, SPF falla; quita los include que ya no uses.
• -all (fail) pide rechazar a los remitentes no incluidos y ~all (softfail), tratarlos como sospechosos. Con DMARC, ~all es habitual y seguro.
• SPF comprueba el remitente del sobre (Return-Path), no la dirección De que ve la gente, y se rompe cuando el correo se reenvía. Por eso también necesitas DKIM.

El servidor emisor firma las cabeceras y el cuerpo con una clave privada; el receptor obtiene la clave pública de selector._domainkey.example.com y verifica la firma. El selector es un nombre elegido por tu proveedor (google, selector1, s1, k1…), así que cada servicio tiene su propia clave.

Activa DKIM en cada servicio con el que envías (proveedor de correo, herramienta de newsletter, CRM, tienda online) y publica el registro que te indique, normalmente un TXT o un CNAME. Usa claves de 2048 bits cuando sea posible. DKIM sobrevive al reenvío, por lo que es la mitad más fiable para DMARC.

DMARC se publica en _dmarc.example.com. Un mensaje supera DMARC cuando SPF o DKIM se superan y el dominio verificado coincide (está alineado) con el de la dirección De. Un proveedor que firma con su propio dominio no te ayuda hasta que configures DKIM para el tuyo.

rua=mailto: pide a los receptores informes agregados diarios (XML) con los servidores que enviaron correo como tu dominio y si lo superaron. Con estos informes encuentras remitentes olvidados antes de endurecer la política.

• Haz una lista de todo lo que envía correo como tu dominio: buzones, formularios web, newsletter, facturación, atención al cliente.
• Publica un único registro SPF que los cubra a todos y activa DKIM en cada uno.
• Añade v=DMARC1; p=none; rua=mailto:… y lee los informes durante dos a cuatro semanas.
• Corrige cada remitente legítimo que falle, pasa luego a p=quarantine (de forma gradual con pct= si quieres) y más adelante a p=reject.
• Los dominios que nunca envían correo deberían publicar v=spf1 -all y v=DMARC1; p=reject para que nadie pueda suplantarlos.

• MTA-STS y TLS-RPT hacen que otros servidores te entreguen el correo solo mediante TLS verificado y te avisen de los problemas.
• BIMI muestra tu logotipo junto a tus mensajes en los buzones compatibles; requiere DMARC en quarantine o reject.

La comprobación de seguridad del correo lee MX, SPF (con su número de consultas DNS), DKIM para los selectores habituales o el tuyo, DMARC, MTA-STS, TLS-RPT y BIMI, y señala los problemas que encuentra. Vuelve a ejecutarla tras cada cambio de DNS; según el TTL, los registros nuevos tardan desde unos minutos hasta una hora en aparecer.