Guía técnica: cómo proteger tu dominio con SPF y DMARC

La suplantación de identidad por correo electrónico (email spoofing) sigue siendo una de las técnicas más utilizadas en fraudes, phishing e ingeniería social.
En muchos casos, no requiere comprometer servidores ni credenciales, sino simplemente aprovechar una mala configuración de SPF y DMARC.

En esta guía técnica repasamos:

• Cómo funcionan SPF y DMARC a nivel práctico

• Qué errores de configuración son más comunes

• Ejemplos reales de registros DNS

• Buenas prácticas para reducir el riesgo de suplantación

Modelo de ataque típico

Desde el punto de vista del atacante, el escenario es simple:

1. Identifica un dominio sin SPF o con SPF laxo

2. Envía correos usando cualquier servidor SMTP

3. El correo aparenta venir de usuario@empresa.com

4. El receptor confía en el remitente

5. Se ejecuta el fraude o phishing

Sin SPF y DMARC bien configurados, el dominio no tiene forma de “defender su identidad”.

SPF en detalle

¿Qué hace SPF exactamente?

SPF permite declarar, mediante DNS, qué servidores están autorizados a enviar correos para un dominio.

Cuando un servidor recibe un correo:

1. Extrae el dominio del MAIL FROM

2. Consulta el registro SPF del dominio

3. Evalúa si la IP emisora está autorizada

4. Decide si el correo pasa o falla SPF

Ejemplo básico de SPF

v=spf1 ip4:203.0.113.10 include:_spf.google.com -all

Este registro indica:

• v=spf1: versión

• ip4:203.0.113.10: servidor propio autorizado

• include:_spf.google.com: autoriza Google Workspace

• -all: rechaza todo lo demás

👉 Este -all es clave: sin él, el SPF no protege realmente el dominio.

Errores comunes en SPF

1. SPF demasiado permisivo

v=spf1 +all

Esto equivale a:

“Cualquiera puede enviar correos por este dominio”

Desde el punto de vista de seguridad, es lo mismo que no tener SPF.

2. SPF incompleto

v=spf1 include:_spf.google.com ~all

• ~all (softfail) no bloquea

• Muchos proveedores siguen aceptando estos correos

Sirve como etapa de prueba, pero no como configuración final.

3. Demasiados include

SPF tiene un límite de 10 consultas DNS.
Excederlo provoca fallos SPF incluso si los servidores son legítimos.

Este problema es muy común cuando:

• Se agregan herramientas de marketing

• Se usan múltiples proveedores externos

• Nadie revisa el SPF históricamente

DMARC en detalle

¿Qué agrega DMARC?

DMARC actúa como una capa de control y política sobre SPF (y DKIM).

Permite:

• Definir qué hacer si SPF falla

• Recibir reportes de abuso del dominio

• Reducir drásticamente el spoofing

Ejemplo básico de DMARC

v=DMARC1; p=none; rua=mailto:dmarc@empresa.com; ruf=mailto:dmarc@empresa.com; fo=1

Este registro:

• Activa DMARC

• No bloquea correos (p=none)

• Habilita reportes agregados (rua)

• Habilita reportes forenses (ruf)

Es ideal como primer paso.

Políticas DMARC

Modo monitoreo

p=none

• No bloquea correos

• Permite ver quién está enviando emails

• Recomendado como etapa inicial

Cuarentena

p=quarantine

• Correos sospechosos pueden ir a spam

• Reduce ataques sin ser demasiado agresivo

Rechazo

p=reject

• Correos no alineados son rechazados

• Máxima protección contra suplantación

• Requiere que SPF esté bien configurado

Error común: DMARC “activo” pero inefectivo

Muchos dominios tienen DMARC así:

v=DMARC1; p=none

Esto no protege, solo observa.
Si nunca se avanza de p=none, el dominio sigue siendo suplantable.

Alineación SPF + DMARC

DMARC no solo verifica SPF, sino que exige alineación:

• El dominio del MAIL FROM

• Debe coincidir (o alinearse) con el dominio visible

Errores de alineación:

• Subdominios mal definidos

• Proveedores externos mal configurados

• Reenvíos de correo

Este es uno de los puntos donde más errores se cometen.

Riesgos reales de una mala configuración

En escenarios reales hemos visto:

• Facturas falsas enviadas desde dominios legítimos

• Correos de “cambio de CBU” a proveedores

• Phishing interno a empleados

• Caída de reputación del dominio (emails legítimos a spam)

Todo esto sin comprometer infraestructura interna.

¿Por qué no basta con “seguir un tutorial”?

Aunque SPF y DMARC parecen simples:

• Cada entorno es distinto

• Cada proveedor agrega complejidad

• Un error puede bloquear correos críticos

Los problemas más comunes aparecen cuando:

• Se endurece DMARC sin analizar reportes

• Se olvida autorizar un proveedor externo

• Se rompe la alineación SPF

• Se superan límites de DNS

¿Cómo puede ayudar Securetia?

En Securetia ayudamos a:

• Analizar SPF y DMARC existentes

• Detectar riesgos reales de suplantación

• Corregir configuraciones sin impacto operativo

• Definir políticas progresivas y seguras

• Dejar todo documentado y mantenible

Si querés revisar el estado de tu dominio o necesitás ayuda para corregirlo correctamente, podés contactarnos y lo vemos en conjunto.

Conclusión

SPF y DMARC son controles simples en concepto, pero críticos en impacto.
Una mala configuración deja el dominio expuesto a suplantación, fraude y pérdida de confianza.

Detectar el problema es fácil.
Corregirlo bien es lo que realmente protege.