SPF, DKIM y DMARC explicados: Cómo frenar un correo falso

SPF, DKIM y DMARC son tres métodos de autenticación que trabajan en equipo para demostrar que un correo electrónico proviene realmente de quien dice enviarlo y no de un estafador. Sin estos tres pilares, cualquiera podría falsificar la dirección del remitente y colar un correo falso en tu bandeja como si viniera de tu banco o de una tienda conocida. En esta guía te explicamos cómo funciona cada estándar con analogías cotidianas, por qué reducen los ataques de suplantación y cómo puedes comprobarlos tú mismo en cualquier mensaje.

Por qué existe el correo falso cuando falta autenticación

El correo electrónico es una de las tecnologías más antiguas de la red. Cuando se diseñó el protocolo SMTP hace más de cuatro décadas, Internet funcionaba como una red pequeña de confianza académica, por lo que no se incluyó ningún mecanismo nativo para verificar la identidad real de quien enviaba una carta digital. Para conocer a fondo cómo viajan estos mensajes entre servidores, puedes consultar nuestra guía sobre cómo funciona el correo electrónico y los registros MX.

En la práctica estándar de SMTP, un remitente malicioso puede escribir en el campo «De:» (o «From:») la dirección que le plazca, exactamente igual que si tomas un sobre de papel tradicional y anotas el remite de otra persona en el reverso. Los ciberdelincuentes aprovechan este vacío para crear correos falsificados que simulan ser de marcas o personas legítimas, una técnica conocida como email spoofing. Para cerrar esa brecha histórica surgieron tres estándares complementarios: SPF, DKIM y DMARC.

SPF (Sender Policy Framework): La lista de carteros autorizados

El estándar SPF funciona como una lista pública de mensajeros autorizados. El propietario de un dominio publica un registro de texto en su servidor DNS (el sistema de nombres de dominio) donde especifica con exactitud las direcciones IP de los servidores autorizados para enviar correos en su nombre.

Imagina que gestionas una empresa con el dominio ejemplo.es. Con SPF, publicas una nota en tu tablón oficial que dice: «Solo los repartidores que operan desde la IP 192.0.2.1 tienen permiso para entregar cartas con nuestro membrete». Cuando tu servidor envía un correo a otra persona, el servidor de destino revisa ese tablón DNS:

• Si el correo llega desde una de las IP autorizadas, la prueba se supera con éxito (SPF pass).
• Si llega desde un servidor ajeno o desconocido, la prueba falla (SPF fail o softfail).

A pesar de su utilidad, SPF tiene una limitación técnica: solo comprueba la dirección que viaja oculta en el sobre técnico del mensaje (conocida como Return-Path o dirección de rebote), pero no siempre valida el nombre visible que tú lees en el campo «De:». Además, si un correo se reenvía legítimamente a través de un intermediario, la IP cambia y SPF puede fallar por error. Por esa razón se inventó una segunda capa de protección.

DKIM (DomainKeys Identified Mail): El sello de lacre digital

Si SPF es la lista de repartidores autorizados, DKIM equivale al sello de cera que los emisarios antiguos estampaban sobre los documentos oficiales. DKIM no se fija en la dirección IP del servidor que transporta el mensaje, sino en el contenido del propio correo utilizando criptografía asimétrica de clave pública y privada.

Cuando el servidor emisor despacha el correo, calcula un resumen matemático del texto y los archivos adjuntos y genera una firma digital única con su clave privada. Esta firma viaja incrustada en las cabeceras del correo. Al recibirlo, el servidor de destino busca la clave pública correspondiente en el DNS del dominio emisor y realiza la comprobación:

• Autenticidad demostrada: Confirma que el mensaje fue generado por alguien con acceso directo a los servidores del dominio emisor.
• Integridad garantizada: Demuestra que nadie modificó el texto, alteró los enlaces ni manipuló los adjuntos durante el trayecto.

Si un intermediario malintencionado intenta interceptar la comunicación y sustituir un enlace legítimo por una trampa de phishing, la firma digital deja de coincidir de inmediato y el servidor receptor sabrá que el contenido fue alterado.

¿Qué es DMARC? El manual de órdenes que une a los dos anteriores

Tener SPF y DKIM por separado no resolvía un dilema habitual: ¿qué debe hacer el servidor receptor si un correo falla una de las dos comprobaciones? Antes de la llegada de DMARC (Domain-based Message Authentication, Reporting and Conformance), cada proveedor tomaba decisiones arbitrarias: algunos enviaban el correo a spam, otros lo entregaban intacto y otros lo rechazaban sin aviso previo.

DMARC resuelve este desorden actuando como el manual de instrucciones oficial del dominio. Su arquitectura se apoya en dos funciones fundamentales:

1. Alineación de dominios

DMARC exige que el dominio visible que tú lees en el remitente («De:») coincida exactamente, o pertenezca a la misma organización, que el dominio validado por SPF y la firma DKIM. Esto impide que un atacante apruebe SPF con su propio dominio malintencionado mientras te muestra la dirección de un banco en la pantalla.

2. Políticas de actuación claras

El titular del dominio publica en su DNS una directiva estricta que ordena al servidor receptor cómo reaccionar ante los fallos de autenticación:

• p=none (ninguna): El mensaje se entrega de forma habitual, pero el emisor recibe un informe técnico del fallo. Se utiliza principalmente durante fases de auditoría interna.
• p=quarantine (cuarentena): El mensaje sospechoso se desvía directamente a la carpeta de correo no deseado o se marca con advertencias visibles.
• p=reject (rechazar): El servidor receptor bloquea y destruye el mensaje en el acto. El destinatario nunca llega a verlo en su buzón.

DMARC también incluye un canal de retorno: los servidores receptores envían informes periódicos a los administradores del dominio con datos sobre quién está enviando correos en su nombre en todo el mundo.

Comparativa directa: SPF vs. DKIM vs. DMARC

La siguiente tabla resume las diferencias clave entre estos tres estándares y cómo se complementan para blindar la identidad de los dominios en Internet:

Qué ocurre paso a paso cuando entra un correo

Cada vez que alguien envía un correo hacia tu bandeja, los servidores de destino completan una cadena de validaciones automatizadas en cuestión de milisegundos:

1. Conexión inicial: El servidor de destino atiende la petición SMTP del servidor emisor y registra su dirección IP pública.
2. Comprobación SPF: El receptor consulta los registros DNS del dominio de rebote y revisa si la IP emisora figura entre las autorizadas.
3. Validación DKIM: El receptor extrae la firma criptográfica de la cabecera, descarga la clave pública del DNS emisor y verifica que el cuerpo del mensaje no haya sufrido cambios.
4. Evaluación DMARC: Se verifica que el dominio visible en la cabecera «De:» coincida con los dominios validados en SPF y DKIM. Si la alineación falla, el receptor aplica la política configurada por el propietario (ninguna, cuarentena o rechazo).
5. Entrega o bloqueo: Si las pruebas son satisfactorias, el mensaje se deposita en la bandeja de entrada; si la política exige rechazo, el mensaje se descarta antes de llegar al usuario.

Qué ves en tu bandeja de entrada y cómo comprobarlo

Proveedores populares como Gmail, Outlook o Apple Mail traducen estas comprobaciones en marcas visuales sencillas. Por ejemplo, algunas plataformas muestran un distintivo azul de verificación junto a remitentes corporativos de gran escala que cumplen con DMARC riguroso y protocolos asociados como BIMI (Brand Indicators for Message Identification).

Sin embargo, cualquier usuario puede verificar los resultados técnicos reales inspeccionando las cabeceras del correo. Si deseas aprender a interpretarlas paso a paso, consulta nuestro artículo sobre cómo leer cabeceras de correo para comprobar el origen de un mensaje. De forma general, el proceso es muy accesible:

• Abre el mensaje sospechoso desde la versión web de tu gestor de correo.
• Haz clic en el menú de opciones (tres puntos verticales) y elige «Mostrar original» o «Ver código fuente».
• En los primeros párrafos encontrarás un cuadro de resumen con las filas SPF: PASS, DKIM: PASS y DMARC: PASS.

Si alguna de estas comprobaciones aparece marcada con FAIL y el correo solicita contraseñas o datos de pago, se trata con alta probabilidad de un intento de fraude.

Por qué un correo autenticado no siempre significa que sea seguro

Existe una creencia extendida entre los usuarios: asumir que un correo con SPF, DKIM y DMARC aprobados es automáticamente seguro e inofensivo. Esta conclusión es errónea.

La autenticación demuestra con precisión matemática quién envió el mensaje y que no hubo manipulaciones técnicas en el camino. Sin embargo, no juzga las intenciones morales de quien escribe. Un atacante puede incurrir en dos escenarios muy peligrosos:

• Dominios fraudulentos propios: Un estafador puede comprar un dominio engañoso similar al de una empresa conocida (como soporte-bancario-seguro.com), configurar correctamente sus propios registros SPF, DKIM y DMARC, y enviar mensajes que superen todas las barreras técnicas. Puedes aprender a reconocer estas trampas en nuestra guía sobre señales de alerta para identificar un correo falso y phishing.
• Cuentas corporativas comprometidas: Si un ciberdelincuente se apodera de las credenciales reales de un trabajador mediante malware o filtraciones, podrá despachar correos fraudulentos desde los propios servidores legítimos de la compañía. En ese caso, SPF, DKIM y DMARC darán un resultado impecable de aprobación.

En el marco de normativas como el RGPD, las organizaciones tienen la obligación de proteger la confidencialidad de las comunicaciones y los datos de sus clientes. Implementar DMARC con políticas de rechazo es una de las medidas técnicas más eficaces recomendadas por organismos como la AEPD y autoridades europeas de ciberseguridad para mitigar los riesgos de suplantación. Como usuario, combinar la verificación técnica de estos tres estándares con el sentido crítico sigue siendo la mejor defensa digital frente al fraude por correo.