Herramienta gratuita
Comprobar SPF, DKIM y DMARC de tu dominio
Cualquiera puede enviar un correo que parezca venir de tu empresa: es la base del fraude por email y del phishing que usa tu marca. Se evita con tres registros DNS gratuitos —SPF, DKIM y DMARC—. Escribe tu dominio y comprobamos si están bien puestos.
Solo leemos los registros DNS públicos de tu dominio. No guardamos nada ni enviamos correo.
Por qué cualquiera puede enviar correo en nombre de tu empresa
El correo electrónico nació sin verificación de identidad: el protocolo original no comprueba quién envía, solo transporta el mensaje. Una empresa puede escribir en el campo "De" cualquier dirección, la suya incluida, y el receptor no tenía forma de saberlo. Ese hueco es el que explota el fraude por email desde hace décadas.
Los tres registros de esta herramienta tapan ese hueco. SPF publica qué servidores están autorizados a enviar en tu nombre. DKIM firma cada mensaje para demostrar que es auténtico y no se ha alterado. DMARC une los dos anteriores y le dice al receptor qué hacer cuando algo falla, además de mandarte informes de quién envía usando tu dominio.
Qué significa cada resultado
- Sin SPF: es la primera puerta abierta. Añadirlo es un único registro DNS y reduce de golpe el correo suplantado que llega a las bandejas de tus clientes.
- Sin DMARC: el problema grave. Aunque tengas SPF y DKIM, sin DMARC el receptor no sabe qué hacer cuando fallan y entrega el correo igual. Es lo que permite que un phishing con tu marca llegue a la bandeja de entrada.
- DMARC en p=none: estás vigilando, no bloqueando. Es la fase previa a endurecer, pero mientras esté en none, la suplantación sigue funcionando.
- SPF con ~all o +all: un SPF mal cerrado deja la puerta a medias o abierta del todo. El cierre correcto es -all.
Esta comprobación es una capa, no la seguridad completa
Un dominio con los tres registros bien puestos está protegido frente a la suplantación directa, pero sigue expuesto a un dominio parecido (empresа.es con una letra cirílica), a un proveedor comprometido o a un empleado que reenvía información. La configuración de correo se audita junto al resto: es una de las fases de una auditoría de infraestructura, no un fin en sí mismo.
Puedes ver cómo trabajamos en auditoría de infraestructura, consultar el glosario de ciberseguridad o calcular el alcance con la calculadora de pentesting.
Preguntas frecuentes
¿Qué pasa si no tengo DMARC en mi dominio?
Sin DMARC, cuando un atacante envía correo usando tu dominio, el receptor no tiene ninguna instrucción sobre qué hacer: normalmente lo entrega. Es la vía más habitual del phishing que suplanta la marca de una empresa. Con DMARC en p=reject, esos correos se rechazan.
¿Cuál es la diferencia entre SPF, DKIM y DMARC?
SPF declara qué servidores pueden enviar en nombre de tu dominio; DKIM firma cada correo para que se pueda verificar su autenticidad; DMARC une los dos y decide qué hacer cuando fallan, además de enviarte informes. Los tres se configuran como registros DNS y son gratuitos.
¿DMARC p=none me protege?
No. p=none solo recopila información: no bloquea ni pone en cuarentena el correo suplantado. Es útil como fase de observación antes de endurecer, pero mientras esté en none, cualquiera puede seguir enviando correo en tu nombre.
¿Estos registros afectan al correo que envío a mis clientes?
Bien configurados, lo mejoran: al autenticar tus envíos, disminuye el riesgo de que acaben en spam. Mal configurados (por ejemplo, un SPF sin incluir a tu proveedor de envíos) pueden hacer que el correo legítimo se rechace, por eso conviene revisarlos cada vez que cambias de proveedor.
¿Sirve para cualquier dominio?
Sí, para cualquier dominio con correo propio, sea cual sea tu proveedor (Google Workspace, Microsoft 365, OVH, un servidor propio). Si no tienes correo en ese dominio, el dominio puede seguir siendo suplantado aunque tú no envíes desde él: más razón para cerrarlo.