Seguridad del correo: ¿qué son SPF, DKIM y DMARC?
Tres métodos basados en DNS evitan que sus correos acaben en spam e impiden que su dominio se use en correos falsos: SPF, DKIM y DMARC. Funcionan juntos.
SPF (Sender Policy Framework)
Publica, como registro TXT en el DNS, la lista de servidores autorizados a enviar correo en nombre de su dominio. El servidor receptor comprueba si el mensaje proviene de un servidor autorizado.
Ejemplo: v=spf1 include:_spf.proveedor-ejemplo.com ~all
DKIM (DomainKeys Identified Mail)
Añade una firma digital a los correos salientes. La clave pública se publica como registro TXT en el DNS; el receptor verifica la firma con ella y sabe que el mensaje no se alteró por el camino y que procede de su dominio. La clave suele generarla su proveedor de correo o de hosting.
DMARC
Es la política que indica al receptor qué hacer según los resultados de SPF y DKIM: none (solo informar), quarantine (enviar los mensajes sospechosos a spam) o reject (rechazar). También recibirá informes resumidos.
Ejemplo (_dmarc.ejemplo.com): v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.com
Por dónde empezar
- Añada los registros SPF y DKIM que le dé su proveedor de correo a la configuración DNS de su dominio.
- Active primero DMARC con p=none y observe los informes durante unas semanas.
- Cuando todo el correo legítimo supere SPF o DKIM, pase a quarantine y después a reject.
Errores frecuentes
- Crear más de un registro SPF para un dominio; solo debe haber uno.
- Usar tantos include en el SPF que se supere el límite de 10 consultas DNS.
- Poner DMARC directamente en reject sin revisar los informes.
Los cambios de DNS pueden tardar de minutos a unas horas en propagarse. Si se atasca, puede abrir una solicitud de soporte.