SPF, DKIM y DMARC responden a preguntas diferentes dentro del correo de un dominio. SPF relaciona un dominio de envío con servidores autorizados; DKIM permite comprobar una firma del mensaje; DMARC aplica una política cuando la autenticación y la alineación con el dominio visible cumplen sus condiciones.
Usarlos juntos mejora la capacidad de los receptores para clasificar mensajes, pero no elimina el phishing ni impide que se utilice un dominio parecido o una cuenta legítima comprometida.
SPF: qué servidores pueden enviar
SPF se publica normalmente como TXT y describe qué infraestructuras están autorizadas para el dominio del envelope sender, también relacionado con el Return-Path. El receptor consulta esa política y compara la IP del servidor emisor con lo que declara el registro.
Los límites de consultas DNS y los reenvíos complican SPF. Un mensaje reenviado puede llegar desde un servidor que no aparece en la política original. Por eso SPF no debe tratarse como una lista absoluta de todos los mensajes legítimos.
DKIM: firma del contenido
DKIM añade una firma criptográfica a partes del mensaje. El servidor receptor consulta una clave pública en DNS usando un selector y el dominio de firma indicados en la cabecera DKIM-Signature. La verificación comprueba que el contenido firmado no ha cambiado y que existe la clave publicada.
La firma puede sobrevivir a ciertos reenvíos mejor que una comprobación basada solo en la IP, pero depende de qué partes se firmen y de que el sistema que envía mantenga la clave privada protegida. El selector permite rotar claves sin sustituir todas a la vez.
DMARC: alineación y política
DMARC se publica como TXT en _dmarc. No autentica un mensaje por sí solo: comprueba si SPF o DKIM pasan y si el dominio autenticado está alineado con el dominio que aparece en From. Un mensaje puede pasar DKIM y aun así no satisfacer DMARC si firma un dominio que no está alineado con el visible.
La política puede ser none para observar, quarantine para pedir un tratamiento más restrictivo o reject para solicitar el rechazo. La decisión final la toma el receptor según sus propias políticas.
Desplegar sin romper correo legítimo
Haz inventario de proveedores, formularios web, CRM, newsletters y dispositivos que envían en nombre del dominio. Publica SPF sin duplicar registros, activa DKIM donde cada proveedor lo soporte y analiza informes DMARC antes de endurecer la política.
Un envío legítimo que no se haya inventariado puede quedar en cuarentena o ser rechazado. Los informes ayudan a encontrar fuentes, pero contienen información operativa que debe manejarse con una política de retención adecuada.
Qué aporta cada mecanismo y qué no
SPF aporta una comprobación de autorización de infraestructura; DKIM aporta integridad de una firma; DMARC relaciona esos resultados con el dominio visible y expresa una política. Ninguno verifica por sí solo que el remitente sea una persona de confianza, que el enlace sea seguro o que el dominio no sea una variante engañosa.
Cómo desplegar autenticación sin bloquear correo legítimo
Empieza con inventario y observación, prueba casos de reenvío y servicios externos, corrige alineación y revisa informes antes de cambiar de none a una política más estricta. Documenta excepciones y vuelve a medir tras cada cambio. La eficacia depende de la configuración del dominio, de los receptores y de los flujos reales de correo.
La alineación es la pieza que suele faltar
DMARC compara el dominio visible en From con el dominio autenticado por SPF o con el dominio que firma DKIM, según el modo de alineación aplicable. Por eso un mensaje puede pasar SPF y no pasar DMARC si el dominio del envelope sender no está alineado con From. Lo mismo puede ocurrir con una firma DKIM válida de un dominio diferente.
Los proveedores que envían en nombre de una empresa deben configurarse con su dominio de retorno y su firma, o utilizar una relación de dominios que cumpla la política. No copies un SPF de otro servicio sin revisar sus mecanismos, límites y cambios futuros.
Informes y despliegue gradual
Los informes agregados muestran fuentes que los receptores han visto y pueden revelar un proveedor olvidado, un reenvío o una configuración incorrecta. No son una lista perfecta de todos los mensajes ni deben procesarse sin controlar datos y retención.
Empieza observando, corrige fuentes legítimas y prueba subdominios antes de endurecer. Una política reject puede reducir la aceptación de mensajes no alineados, pero la decisión final pertenece al receptor y un dominio parecido sigue fuera de esa política.
Despliegue seguro de SPF, DKIM y DMARC
Inventaría cada flujo de envío, comprueba SPF y DKIM por separado, verifica alineación y revisa informes antes de pasar a cuarentena o rechazo. Repite la comprobación después de cambios de proveedor. SPF, DKIM y DMARC se complementan; no convierten cualquier mensaje relacionado con el dominio en correo confiable.
Un mensaje puede tener varios resultados
SPF, DKIM y DMARC se evalúan sobre aspectos relacionados pero no idénticos. Un mensaje puede proceder de una infraestructura autorizada por SPF y tener una firma DKIM válida, mientras el dominio visible no coincide con ninguno de los dominios autenticados. En ese caso DMARC puede fallar por alineación aunque las comprobaciones individuales parezcan positivas.
El reenvío y las plataformas que modifican el mensaje pueden afectar SPF o DKIM de manera distinta. Revisa ejemplos reales de cada flujo antes de endurecer la política y evita tratar un informe aislado como prueba de que todo el correo está cubierto.
Excepciones y subdominios
Define si la política se aplica a subdominios y cómo se gestionan servicios que envían con una identidad separada. Una excepción amplia en SPF puede acercarse a los límites de consultas DNS y una política DMARC muy estricta puede afectar sistemas que aún no están alineados.
Política final y seguimiento
Empieza con inventario, publica una política de observación, corrige fuentes y confirma alineación. Después valora cuarentena o rechazo según la evidencia. Estos mecanismos ayudan al receptor a tomar decisiones, pero no autentican la intención de una persona ni eliminan todas las formas de suplantación.