Protección de marca

DMARC, DKIM y SPF: guía práctica contra la suplantación de correo

Configurar los registros es el principio. La parte difícil es interpretar los reportes y llegar a una política restrictiva sin detener el negocio.

6 min de lectura

La suplantación de correo sigue siendo el vector más eficaz para comprometer una organización, porque no necesita vulnerabilidades: solo necesita parecer legítima. SPF, DKIM y DMARC son las tres capas que lo impiden, siempre que se implementen en el orden correcto.

El error más común

Publicar una política p=reject sin haber revisado antes el flujo real de correo. El resultado es predecible: facturas que no llegan, campañas que rebotan y una orden inmediata de desactivar todo. DMARC se implementa observando primero.

Ruta de implementación

  • Inventario de fuentes de envío. Facturación, mercadotecnia, sistemas transaccionales, proveedores externos y aplicaciones internas.
  • Alineación de SPF y DKIM. SPF valida la ruta; DKIM firma el mensaje. La alineación del dominio visible con el dominio firmado es lo que DMARC realmente evalúa.
  • Fase de observación. Publicar p=none con rua y analizar los reportes durante un periodo representativo.
  • Endurecimiento gradual. Pasar a cuarentena, corregir desviaciones y solo entonces aplicar rechazo.
  • Supervisión permanente. Un proveedor nuevo da de alta su propio remitente y rompe la política sin avisar.

Qué se gana

Una política restrictiva impide que un tercero envíe correo en nombre de su dominio. Es la defensa más eficiente contra el fraude de facturas y el robo de credenciales ejecutivas, y su efecto se mide en la confianza de quienes reciben sus mensajes.

Seguir leyendo

Contenido relacionado