> ## Content Index > Fetch the complete content index at: https://securetia.mymagic.page/llms.txt > Use this file to discover other available public pages before exploring further. # Guía técnica: cómo proteger tu dominio con SPF y DMARC - URL: https://securetia.mymagic.page/guia-tecnica-como-proteger-tu-dominio-con-spf-y-dmarc/ - Published: 2025-12-17T15:18:32.000Z - Updated: 2026-11-14T01:02:03.000Z - Description: La suplantación de identidad por correo electrónico (email spoofing) sigue siendo una de las técnicas más utilizadas en fraudes, phishing e ingeniería social. - Author: Fabian Martinez Portantier - Tags: Blog La suplantación de identidad por correo electrónico (email spoofing) sigue siendo una de las técnicas más utilizadas en fraudes, phishing e ingeniería social. En muchos casos, **no requiere comprometer servidores ni credenciales**, sino simplemente aprovechar una **mala configuración de SPF y DMARC**. En esta guía técnica repasamos: - Cómo funcionan SPF y DMARC a nivel práctico - Qué errores de configuración son más comunes - Ejemplos reales de registros DNS - Buenas prácticas para reducir el riesgo de suplantación --- ## Modelo de ataque típico Desde el punto de vista del atacante, el escenario es simple: 1. Identifica un dominio sin SPF o con SPF laxo 2. Envía correos usando cualquier servidor SMTP 3. El correo aparenta venir de `usuario@empresa.com` 4. El receptor confía en el remitente 5. Se ejecuta el fraude o phishing Sin SPF y DMARC bien configurados, **el dominio no tiene forma de “defender su identidad”**. --- ## SPF en detalle ### ¿Qué hace SPF exactamente? SPF permite declarar, mediante DNS, **qué servidores están autorizados a enviar correos para un dominio**. Cuando un servidor recibe un correo: 1. Extrae el dominio del MAIL FROM 2. Consulta el registro SPF del dominio 3. Evalúa si la IP emisora está autorizada 4. Decide si el correo pasa o falla SPF --- ### Ejemplo básico de SPF ``` v=spf1 ip4:203.0.113.10 include:_spf.google.com -all ``` Este registro indica: - `v=spf1`: versión - `ip4:203.0.113.10`: servidor propio autorizado - `include:_spf.google.com`: autoriza Google Workspace - `-all`: **rechaza todo lo demás** 👉 Este `-all` es clave: sin él, el SPF no protege realmente el dominio. --- ### Errores comunes en SPF #### 1\. SPF demasiado permisivo ``` v=spf1 +all ``` Esto equivale a: > “Cualquiera puede enviar correos por este dominio” Desde el punto de vista de seguridad, es lo mismo que **no tener SPF**. --- #### 2\. SPF incompleto ``` v=spf1 include:_spf.google.com ~all ``` - `~all` (softfail) **no bloquea** - Muchos proveedores siguen aceptando estos correos Sirve como etapa de prueba, pero **no como configuración final**. --- #### 3\. Demasiados `include` SPF tiene un límite de **10 consultas DNS**. Excederlo provoca fallos SPF incluso si los servidores son legítimos. Este problema es muy común cuando: - Se agregan herramientas de marketing - Se usan múltiples proveedores externos - Nadie revisa el SPF históricamente --- ## DMARC en detalle ### ¿Qué agrega DMARC? DMARC actúa como una **capa de control y política** sobre SPF (y DKIM). Permite: - Definir qué hacer si SPF falla - Recibir reportes de abuso del dominio - Reducir drásticamente el spoofing --- ### Ejemplo básico de DMARC ``` v=DMARC1; p=none; rua=mailto:dmarc@empresa.com; ruf=mailto:dmarc@empresa.com; fo=1 ``` Este registro: - Activa DMARC - No bloquea correos (`p=none`) - Habilita reportes agregados (`rua`) - Habilita reportes forenses (`ruf`) Es ideal como **primer paso**. --- ### Políticas DMARC #### Modo monitoreo ``` p=none ``` - No bloquea correos - Permite ver quién está enviando emails - Recomendado como etapa inicial --- #### Cuarentena ``` p=quarantine ``` - Correos sospechosos pueden ir a spam - Reduce ataques sin ser demasiado agresivo --- #### Rechazo ``` p=reject ``` - Correos no alineados son rechazados - Máxima protección contra suplantación - Requiere que SPF esté bien configurado --- ### Error común: DMARC “activo” pero inefectivo Muchos dominios tienen DMARC así: ``` v=DMARC1; p=none ``` Esto **no protege**, solo observa. Si nunca se avanza de `p=none`, el dominio sigue siendo suplantable. --- ## Alineación SPF + DMARC DMARC no solo verifica SPF, sino que exige **alineación**: - El dominio del MAIL FROM - Debe coincidir (o alinearse) con el dominio visible Errores de alineación: - Subdominios mal definidos - Proveedores externos mal configurados - Reenvíos de correo Este es uno de los puntos donde **más errores se cometen**. --- ## Riesgos reales de una mala configuración En escenarios reales hemos visto: - Facturas falsas enviadas desde dominios legítimos - Correos de “cambio de CBU” a proveedores - Phishing interno a empleados - Caída de reputación del dominio (emails legítimos a spam) Todo esto **sin comprometer infraestructura interna**. --- ## ¿Por qué no basta con “seguir un tutorial”? Aunque SPF y DMARC parecen simples: - Cada entorno es distinto - Cada proveedor agrega complejidad - Un error puede bloquear correos críticos Los problemas más comunes aparecen cuando: - Se endurece DMARC sin analizar reportes - Se olvida autorizar un proveedor externo - Se rompe la alineación SPF - Se superan límites de DNS --- ## ¿Cómo puede ayudar Securetia? En **Securetia** ayudamos a: - Analizar SPF y DMARC existentes - Detectar riesgos reales de suplantación - Corregir configuraciones sin impacto operativo - Definir políticas progresivas y seguras - Dejar todo documentado y mantenible Si querés revisar el estado de tu dominio o necesitás ayuda para corregirlo correctamente, **podés contactarnos y lo vemos en conjunto**. --- ## Conclusión SPF y DMARC son controles simples en concepto, pero críticos en impacto. Una mala configuración deja el dominio expuesto a suplantación, fraude y pérdida de confianza. Detectar el problema es fácil. Corregirlo bien es lo que realmente protege.