Cada semana llegan a las bandejas de entrada de las pymes canarias correos que parecen venir de un proveedor, del banco o incluso de un compañero de la propia empresa, pero que en realidad son falsificaciones. Este tipo de suplantación es una de las puertas de entrada más comunes para el fraude y el ransomware, y sin embargo pocas empresas saben que existen tres herramientas técnicas, gratuitas y estándar en el sector, que reducen drásticamente el riesgo: SPF, DKIM y DMARC. En este artículo explicamos qué son, por qué importan y cómo saber si tu dominio de correo está protegido, sin tecnicismos innecesarios.
Por qué el correo es tan fácil de falsificar
El protocolo de correo electrónico (SMTP) se diseñó hace décadas sin pensar en la seguridad: por defecto, cualquiera puede enviar un mensaje haciendo que el campo «De» muestre el dominio que quiera, igual que se podría escribir cualquier remitente en un sobre de papel. Esto permite a los atacantes enviar correos que parecen proceder de tu propia empresa —por ejemplo, «facturacion@tuempresa.com»— para engañar a clientes, proveedores o incluso a tu propio equipo. Es la base técnica de gran parte del phishing dirigido y del fraude del CEO (esas transferencias urgentes que «pide» un directivo por correo).
SPF: quién puede enviar en tu nombre
El SPF (Sender Policy Framework) es un registro que se publica en la configuración DNS del dominio y que actúa como una lista blanca: indica qué servidores están autorizados a enviar correos en nombre de ese dominio. Cuando un servidor de correo recibe un mensaje, consulta ese registro y comprueba si el remitente real coincide con la lista autorizada. Si tu empresa usa Microsoft 365, Google Workspace o un proveedor de marketing por email, cada uno de esos servicios debe estar incluido explícitamente en tu SPF; de lo contrario, tus propios correos legítimos pueden acabar en spam.
DKIM: la firma digital que certifica que el mensaje no se ha alterado
El DKIM (DomainKeys Identified Mail) añade una firma criptográfica invisible a cada correo saliente, generada con una clave privada asociada al dominio. El servidor receptor verifica esa firma usando una clave pública publicada también en el DNS. Si la firma no coincide, es señal de que el mensaje ha sido modificado en tránsito o que no procede realmente de quien dice ser. A diferencia del SPF, que valida el servidor de envío, el DKIM valida la integridad del propio mensaje.
DMARC: la política que une SPF y DKIM y decide qué hacer
Tener SPF y DKIM configurados no basta si no le dices a los servidores receptores qué hacer cuando un correo falla esas comprobaciones. Ahí entra el DMARC (Domain-based Message Authentication, Reporting and Conformance), que define una política: puede pedir que esos correos se dejen pasar igualmente (modo «none», solo para monitorizar), que se envíen a spam («quarantine») o que se rechacen directamente («reject»). El DMARC también genera informes periódicos que muestran quién está intentando enviar correo en nombre de tu dominio, una información muy útil para detectar intentos de suplantación antes de que causen daño.
La recomendación habitual para una pyme es implantar estos tres registros de forma progresiva: primero en modo de solo monitorización, revisar los informes durante unas semanas para confirmar que no se bloquea correo legítimo, y después endurecer la política hasta «reject».
Qué ocurre si no tienes esta protección
Sin SPF, DKIM y DMARC correctamente configurados, tu dominio queda expuesto a dos riesgos concretos y frecuentes en el tejido empresarial canario, donde predominan pymes con equipos de IT reducidos o inexistentes:
- Suplantación de tu marca: terceros pueden enviar correos fraudulentos haciéndose pasar por tu empresa, dañando la confianza de tus clientes y proveedores.
- Problemas de entregabilidad: cada vez más proveedores de correo (Gmail, Outlook) penalizan o rechazan directamente mensajes de dominios sin estas verificaciones, lo que significa que tus propias facturas, presupuestos o comunicaciones pueden no llegar a destino.
- Mayor exposición al fraude del CEO y al phishing dirigido: sin DMARC en modo «reject», nada impide técnicamente que alguien envíe un correo desde «tu-dominio.com» pidiendo una transferencia urgente.
- Dificultad para detectar el problema: sin los informes de DMARC, una empresa puede estar siendo suplantada durante meses sin enterarse.
Checklist rápido para revisar tu dominio
Antes de contratar nada, cualquier empresa puede hacer una primera comprobación con herramientas gratuitas de consulta DNS. Como guía general, conviene verificar:
- Si existe un registro SPF publicado para el dominio y si incluye todos los servicios que realmente envían correo (Microsoft 365, CRM, facturación electrónica, plataformas de email marketing, etc.).
- Si el correo saliente está firmado con DKIM y si esa firma se valida correctamente en los correos que llegan a otros proveedores.
- Si existe un registro DMARC y en qué modo está configurado (monitorización, cuarentena o rechazo).
- Si alguien está revisando periódicamente los informes DMARC, o si están configurados pero nadie los mira.
- Si el dominio usado para facturación o comunicaciones sensibles es el mismo que el corporativo, o conviene segmentarlo.
Un problema técnico con solución sencilla
La buena noticia es que, a diferencia de otras medidas de ciberseguridad, implementar SPF, DKIM y DMARC no requiere inversión en hardware ni licencias adicionales: son registros DNS que, una vez bien configurados y revisados con cierta periodicidad, funcionan de forma silenciosa en segundo plano. El reto habitual no es técnico sino de tiempo y conocimiento especializado: hay que entender qué servicios envían correo en nombre del dominio, redactar la sintaxis correcta y hacer el seguimiento de los informes sin bloquear por error comunicaciones legítimas. Es precisamente el tipo de tarea que conviene delegar en un proveedor de mantenimiento informático que conozca bien la infraestructura de la empresa, algo especialmente relevante para pymes en Tenerife, Gran Canaria y el resto del archipiélago que no cuentan con un departamento de IT propio.
Si no sabes si el dominio de tu empresa está protegido frente a la suplantación de correo, en Xenic Technology podemos revisarlo y ponerlo en marcha sin que suponga una carga para tu equipo. Puedes solicitar una auditoría gratuita de seguridad informática y te contamos exactamente en qué situación está tu dominio y qué pasos seguir.