Cualquier persona puede enviar un correo que diga venir de su empresa, a menos que su dominio lo impida. Si no tiene configurados tres registros llamados SPF, DKIM y DMARC, es posible que hoy mismo alguien esté enviando facturas falsas a sus clientes con su nombre.
La analogía del sobre
Piense en un correo como una carta:
- SPF es la lista de oficinas de correo autorizadas para enviar cartas en nombre de su empresa. Si la carta sale de otra oficina, es sospechosa.
- DKIM es un sello de lacre con la firma de su empresa. Si alguien abre y cambia la carta, el sello se rompe.
- DMARC es la instrucción que usted deja al cartero: “si la carta no viene de una oficina autorizada o el sello está roto, no la entregue”. Además, le envía reportes de quién está intentando usar su nombre.
Lo importante: SPF y DKIM verifican. DMARC decide qué hacer y le informa. Sin DMARC en modo de rechazo, los correos falsos siguen llegando.
Qué gana su empresa
- Evita que suplanten su dominio para estafar a clientes y proveedores.
- Mejora la entrega de sus correos legítimos: llegan menos a la carpeta de spam.
- Cumple requisitos que Google y Microsoft ya exigen a quienes envían correo masivo.
- Obtiene visibilidad: los reportes muestran quién envía correo en su nombre.
Cómo se implementa sin afectar su correo
- Inventario: identificar todos los servicios que envían correo en nombre de su empresa (correo corporativo, facturación electrónica, CRM, plataformas de mercadeo).
- SPF y DKIM: publicar los registros en el DNS y activar la firma en cada servicio.
- DMARC en monitoreo: empezar en modo de observación para recibir reportes sin bloquear nada.
- Ajuste: corregir los servicios legítimos que aparezcan fallando en los reportes.
- DMARC en rechazo: cuando todo está en orden, pasar a la política que bloquea los correos falsos.
El proceso suele tomar de dos a seis semanas, según la cantidad de servicios que envían correo. Hacerlo por fases evita que facturas o notificaciones legítimas dejen de llegar.
¿Cómo saber si su dominio está protegido?
Existen herramientas gratuitas en línea que revisan los registros de su dominio. Si el resultado muestra que no tiene DMARC o que está en modo “none” desde hace meses, su dominio sigue expuesto.
¿Quiere saber cómo está su empresa?
Un diagnóstico de seguridad le muestra sus riesgos y qué resolver primero.