Un email seguro exige tres cosas mínimas: registro SPF publicado en el DNS, firma DKIM activa y política DMARC aplicada. Sin esas tres piezas, cualquiera puede enviar correo suplantando tu dominio y tú ni te enteras. La seguridad correo no va de tener una contraseña larga: va de configurar bien el DNS antes de que un estafador lo haga por ti. En MataSpam vemos cada día dominios sin DKIM que acaban en listas negras porque alguien mandó spam "desde" ellos. Configurar SPF DKIM correctamente y aplicar email cifrado en los puntos críticos es lo que separa un buzón profesional de una puerta abierta. Vamos a proteger correo electrónico paso a paso, sin peaje de manual aburrido.
Qué es SPF y por qué tu dominio lo necesita ya
SPF (Sender Policy Framework) es un registro TXT en tu DNS que dice qué servidores tienen permiso para enviar correo en nombre de tu dominio. Sin él, cualquier servidor del mundo puede escribir "De: facturas@tuempresa.com" y tu propio dominio no dirá nada en contra.
Un registro SPF básico se ve así:
v=spf1 include:_spf.google.com include:mailgun.org ~all
Cada include autoriza a un proveedor concreto (Google Workspace, tu SMTP transaccional, etc.). El ~all al final marca como sospechoso todo lo demás; el -all lo rechaza directamente. En 2026 la recomendación mayoritaria entre proveedores de correo es usar -all una vez confirmes que todos tus emisores legítimos están listados, porque los servidores receptores (Gmail, Outlook) aplican filtros más estrictos con dominios sin política clara.
Error típico: tener dos registros SPF distintos en el mismo dominio. El DNS solo permite uno; si tienes dos, ambos se invalidan y tu correo empieza a caer en spam sin explicación aparente.
DKIM: la firma que demuestra que el correo no ha sido tocado
DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada correo saliente. El servidor receptor comprueba esa firma con una clave pública publicada en tu DNS. Si algo se ha modificado por el camino, la firma no cuadra y el correo se marca como sospechoso.
Configurar DKIM implica generar un par de claves (pública/privada) desde tu proveedor de correo —Google Workspace, Microsoft 365, o el panel de tu hosting— y publicar la clave pública como registro TXT tipo:
selector1._domainkey.tuempresa.com
La clave privada se queda en el servidor de envío y firma cada mensaje automáticamente. No hay nada que hacer a mano correo por correo: se activa una vez y trabaja sola.
Sin DKIM, tu correo es como una carta sin remite verificable: puede parecer tuya y no serlo. Con SPF y DKIM alineados, DMARC entra al juego para decidir qué pasa cuando algo no cuadra.
DMARC: quién manda cuando SPF o DKIM fallan
DMARC (Domain-based Message Authentication, Reporting and Conformance) no sustituye a SPF ni a DKIM: los coordina. Le dice al servidor receptor qué hacer si un correo falla la verificación —ponerlo en cuarentena, rechazarlo, o dejarlo pasar— y te manda informes de quién está intentando suplantarte.
Un registro DMARC típico:
v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@tuempresa.com; pct=100
La política p= es la clave. Empieza con p=none para observar sin bloquear nada, revisa los informes durante unas semanas, y sube a p=quarantine o p=reject cuando confirmes que tu correo legítimo pasa sin problemas. Saltarse directamente a p=reject sin haber probado antes es la forma más rápida de que tus propias facturas acaben rebotadas.
Este proceso de endurecimiento progresivo es el mismo que recomendamos en nuestra guía básica de ciberseguridad para pymes: primero visibilidad, después restricción.
Email cifrado: qué proteges y qué no protege SPF/DKIM
SPF y DKIM autentican el remitente y verifican la integridad del mensaje, pero no cifran el contenido. Si alguien intercepta el correo en tránsito o accede a tu buzón, puede leerlo igual. Para email cifrado de verdad hay dos capas distintas:
- Cifrado en tránsito (TLS): la mayoría de proveedores lo aplican por defecto entre servidores, pero conviene verificar que tu dominio fuerza TLS y no permite fallback a conexión sin cifrar.
- Cifrado de extremo a extremo: con PGP/GPG o S/MIME, para que ni siquiera el proveedor de correo pueda leer el contenido. Útil para comunicaciones especialmente sensibles, pero poco práctico para el día a día de una pyme.
Para la mayoría de negocios, forzar TLS y activar autenticación de dos factores en el correo cubre el riesgo real. Si además guardas documentos sensibles fuera del correo, revisa nuestra guía de encriptación de disco duro con BitLocker o VeraCrypt: complementa el cifrado del canal con el cifrado del almacenamiento.
Buenas prácticas que van más allá del DNS
Configurar SPF, DKIM y DMARC resuelve la autenticación del dominio. El resto de la seguridad correo depende de hábitos:
| Práctica | Por qué importa |
|---|---|
| 2FA en el buzón | Evita que una contraseña filtrada dé acceso total |
| Revisar reglas de reenvío | Un atacante con acceso puntual suele dejar un reenvío oculto activo |
| Comprobar filtrado de spam activo | Reduce exposición a phishing antes de que llegue a la bandeja |
| Revisar Have I Been Pwned periódicamente | Detecta si tu dirección apareció en alguna filtración |
| No reutilizar contraseñas | Una filtración en otro servicio no debería comprometer el correo |
Herramientas como MXToolbox o el propio verificador de Google Postmaster Tools permiten comprobar en segundos si tu SPF y DKIM están bien publicados. Y si sospechas que un archivo adjunto es malicioso, VirusTotal lo analiza contra decenas de motores antivirus antes de que lo abras.
Si además gestionas cuentas empresariales con varios usuarios, conviene aplicar políticas de contraseña y priorización de parches como las que describimos en gestión de vulnerabilidades para empresas, porque el correo suele ser la puerta de entrada, no el objetivo final.
Preguntas frecuentes
¿Cómo sé si mi dominio tiene SPF y DKIM configurados?
Usa una herramienta gratuita como MXToolbox o el comando dig TXT tudominio.com desde terminal. Si no aparece un registro con v=spf1 o un selector _domainkey, no está activo.
¿SPF y DKIM son obligatorios por ley?
No hay una norma que los exija directamente, pero el RGPD sí obliga a proteger los datos personales que circulan por correo, y una suplantación de dominio sin protección puede considerarse una brecha de seguridad reportable ante la AEPD.
¿Puedo tener DMARC sin SPF ni DKIM?
No tiene sentido. DMARC solo actúa si al menos SPF o DKIM están alineados con el dominio del remitente. Sin ninguno de los dos, DMARC no tiene nada que verificar.
¿Configurar SPF y DKIM afecta a la entregabilidad de mis campañas de email marketing?
Sí, y para bien. Gmail y Outlook penalizan el correo masivo sin autenticación correcta. Tenerlo bien configurado mejora directamente la tasa de entrega en bandeja principal.
¿Qué pasa si cambio de proveedor de correo y no actualizo el SPF?
Tus correos nuevos empezarán a fallar la verificación porque el registro seguirá apuntando al proveedor antiguo. Es el error más común al migrar de Google Workspace a otro servicio: hay que actualizar el include el mismo día de la migración.
El siguiente paso
Entra ahora mismo en el panel DNS de tu dominio y comprueba si existe un registro TXT que empiece por v=spf1. Si no lo encuentras, ese es el primer hueco que hay que cerrar hoy.
