SPF, DKIM y DMARC: los tres protocolos que protegen tu bandeja de entrada (y por qué necesitas los tres)

Resumen: SPF, DKIM y DMARC - los tres protocolos que protegen tu bandeja de entrada y por qué necesitas los tres

Por qué los tres importan:

SPF y DKIM por sí solos no son suficientes para prevenir la suplantación. Cada protocolo verifica encabezados de correo diferentes: SPF verifica la ruta de retorno (return-path), DKIM valida el dominio d=, pero ninguno protege el encabezado "From:" que realmente ven los destinatarios. Los atacantes pueden suplantar tu dominio configurando "From: tudominio.com" mientras usan su propio dominio para SPF y DKIM.

Los tres protocolos:

• SPF: Verifica que las direcciones IP de los servidores de envío estén autorizadas para tu dominio
• DKIM: Firma criptográficamente los correos para confirmar su autenticidad y prevenir manipulaciones
• DMARC: Coordina SPF y DKIM para proteger el encabezado visible "From:" e indica a los receptores qué hacer con los correos que fallan

En resumen:

DMARC es obligatorio porque es el único protocolo que previene la suplantación exacta de dominio al garantizar la alineación entre SPF/DKIM y la dirección del remitente que ven los destinatarios. Los principales proveedores ahora exigen los tres protocolos para remitentes masivos, convirtiendo esto en la base de la seguridad del correo electrónico moderno.

El correo electrónico sigue siendo la columna vertebral de la comunicación empresarial. También es el vector de ataque más explotado en ciberseguridad, ya que más del 90% de los ciberataques comienzan con un correo de phishing o un dominio suplantado.

Si alguna vez te has preguntado por qué tus correos de marketing legítimos terminan en la carpeta de spam, o cómo los atacantes pueden enviar correos que parecen provenir exactamente de tu dominio, la respuesta está en tres protocolos críticos de autenticación de correo electrónico: SPF, DKIM y DMARC.

Entender cómo funcionan juntos estos protocolos es esencial para cualquier persona responsable de la seguridad del correo electrónico, la entregabilidad o la protección de su organización frente a ataques de compromiso de correo empresarial (Business Email Compromise).

El Protocolo Simple de Transferencia de Correo (SMTP), la base de la transmisión de correo electrónico, fue etiquetado oficialmente como "inherentemente inseguro" por el Network Working Group en 2008. El protocolo permite que cualquier persona con conocimientos básicos de programación pueda suplantar un dominio y enviar correos fraudulentos sin autorización.

Esta falla fundamental significa que, sin una autenticación adecuada, los atacantes pueden suplantar fácilmente dominios legítimos. El resultado es un correo que parece totalmente legítimo, evita los indicadores de seguridad habituales y llega directamente a la bandeja de entrada del destinatario.

Estos tres protocolos se desarrollaron para abordar las deficiencias de seguridad del correo electrónico, pero cada uno cumple un propósito distinto. Piensa en ellos como capas de defensa que trabajan juntas para verificar la identidad del remitente y proteger contra la suplantación.

• SPF (Sender Policy Framework) autoriza qué servidores de correo pueden enviar mensajes en nombre de tu dominio. Publicas un registro SPF en tu DNS que enumera las fuentes de envío aprobadas. Cuando un servidor receptor recibe tu correo, verifica si la IP de envío coincide con tu lista autorizada. SPF es sencillo de implementar, pero tiene limitaciones. Se rompe cuando los correos se reenvían a través de listas de distribución, y no verifica el contenido real del mensaje.
• DKIM (DomainKeys Identified Mail) añade una firma criptográfica a los encabezados de tu correo, confirmando que el mensaje no fue alterado durante el tránsito. Tu servidor de correo adjunta una firma con clave privada a cada correo, y los servidores receptores usan tu clave pública para verificar la autenticidad. DKIM resuelve el problema de reenvío de SPF y confirma la integridad del mensaje. Sin embargo, es más complejo de configurar en múltiples remitentes de terceros, y las claves necesitan rotación periódica por seguridad.
• DMARC (Domain-based Message Authentication, Reporting & Conformance) es el protocolo que une todo. Se basa en SPF y DKIM para crear una política de aplicación, indicando a los servidores receptores exactamente qué hacer cuando falla la autenticación. Con DMARC, puedes indicar a los servidores de correo que pongan en cuarentena los mensajes sospechosos o los rechacen directamente. Más importante aún, DMARC proporciona visibilidad mediante informes agregados y forenses, mostrando quién está enviando correo usando tu dominio y si esos mensajes pasan la autenticación.

SPF y DKIM funcionan de forma independiente, pero sin DMARC, pueden ser eludidos. Los atacantes aún pueden suplantar tu dominio de maneras que pasan las verificaciones individuales pero fallan en los requisitos de alineación.

DMARC exige que el dominio en la dirección "From" visible se alinee con los dominios autenticados por SPF y DKIM. Solo cuando al menos uno de estos mecanismos pasa y se alinea, DMARC considera legítimo el mensaje.

Juntos, estos protocolos crean un marco de autenticación completo que protege contra la suplantación exacta de dominio, reduce los riesgos de phishing, mejora la entregabilidad del correo electrónico y proporciona información procesable sobre tu ecosistema de correo.

A pesar de la complejidad técnica, implementar estos protocolos es más sencillo de lo que muchas organizaciones creen. El proceso implica publicar registros DNS, pasar gradualmente de la monitorización a la aplicación forzosa, y validar todas las fuentes legítimas de correo.

Las organizaciones que implementan DMARC correctamente suelen alcanzar la aplicación total en un plazo de 6 a 8 semanas, bloqueando el uso no autorizado de sus dominios mientras aseguran que el correo legítimo siga fluyendo sin problemas.

Si eres responsable de la seguridad o la entregabilidad del correo electrónico, entender las diferencias técnicas entre SPF, DKIM y DMARC es esencial. Cada protocolo aborda vulnerabilidades específicas, y solo implementando los tres puedes construir una protección integral contra las amenazas basadas en correo electrónico.

Encontrarás explicaciones detalladas de cómo funciona cada protocolo, errores de configuración comunes a evitar, y una lista de verificación práctica para comenzar a proteger tu dominio hoy mismo.