Cómo configurar la protección contra la suplantación de correo electrónico con SPF, DKIM y DMARC para clientes pyme

La suplantación de correo electrónico (email spoofing), en la que los atacantes falsifican la dirección del remitente para lanzar estafas de phishing y de impersonación, es una de las principales amenazas para las pequeñas y medianas empresas (pymes). Estos ataques suelen tener éxito simplemente porque faltan registros esenciales de autenticación de correo o están mal configurados.

En esta guía te ayudamos a implementar una protección contra la suplantación de correo electrónico imprescindible, que incluye SPF, DKIM y DMARC, para asegurar tanto el correo saliente como el entrante de tus clientes pyme con entornos Windows.

Por qué esto importa más que nunca en 2026

Google, Yahoo y Microsoft ya rechazan activamente el correo masivo sin autenticar, en lugar de limitarse a marcarlo como spam. Los dominios que envían más de 5.000 mensajes al día a direcciones de Gmail, Yahoo u Outlook.com deben tener SPF, DKIM y un registro DMARC publicado; de lo contrario, el correo se rechaza directamente.

Incluso las pymes que están muy por debajo de ese umbral se ven afectadas de forma indirecta. Las plataformas de marketing, los CRM y las herramientas de soporte que envían en su nombre cuentan dentro del volumen del propio remitente, y una reputación compartida en una infraestructura sin autenticar hace que el correo de todos se ralentice. Todo esto significa que configurar estos registros es el mínimo para que el correo llegue realmente.

Los protocolos de un vistazo

Métodos para proteger a las empresas frente a la suplantación de correo electrónico

SPF, DKIM y DMARC son el trío esencial que autentica a los remitentes y frena la suplantación de dominios. Configurarlos correctamente evita que los atacantes se hagan pasar por tu empresa o por tus partners.

📌Caso de uso: implementa estas herramientas de protección en el correo de tu empresa para evitar la suplantación de correo electrónico, detener el phishing, proteger tu marca y garantizar que solo lleguen a la bandeja de entrada los correos legítimos.

📌Requisitos previos: antes de empezar, asegúrate de tener:

• Acceso administrativo al DNS de tu dominio
• Un servicio de correo compatible con DKIM
• La posibilidad de añadir o actualizar registros TXT de DNS
• Conocimientos básicos sobre registros DNS
• Herramientas como PowerShell, utilidades de prueba de correo (por ejemplo, MXToolbox) y el símbolo del sistema

Te recomendamos revisar ⚠️ Aspectos a tener en cuenta antes de continuar.

📌 Estrategias de despliegue recomendadas:

Cómo configurar el registro SPF en el DNS

La configuración del Sender Policy Framework (SPF) es tu primer paso crítico para declarar las fuentes de correo legítimas y evitar la suplantación de dominios. Publica en el DNS una «lista de remitentes autorizados» para tu dominio. Los servidores receptores comprueban que el correo entrante procede realmente de tus servidores aprobados.

📌 Caso de uso: configura SPF ahora si tu dominio envía cualquier tipo de correo (a través de Microsoft 365, un servidor on-premise, una web o herramientas de marketing). Todos los dominios necesitan SPF para establecer una legitimidad básica del remitente y mejorar la entregabilidad.

Procedimiento paso a paso:

1. Haz una lista de tus remitentes autorizados. Identifica todos los servicios que envían correo como @tudominio.com, por ejemplo:
   • Tu proveedor de correo (por ejemplo, Microsoft 365, Google Workspace)
   • Tu web o servidor (si envía notificaciones)
   • Herramientas de marketing (por ejemplo, Mailchimp, Constant Contact)
   • CRM (por ejemplo, Salesforce, Hubspot)
   • Servidores de correo on-premise

💡 Consejo: consulta la documentación de cada proveedor para saber qué valor de include: necesita en SPF. Por ejemplo, Microsoft 365 usa spf.protection.outlook.com.

2. Crea tu registro SPF:
   • Crea un registro TXT con esta sintaxis:

• • Ejemplos:
    • Solo Microsoft 365: v=spf1 include:spf.protection.outlook.com -all
    • Microsoft 365 + servidor web (IP 192.0.2.10): v=spf1 ip4:192.0.2.10 include:spf.protection.outlook.com -all
    • Microsoft 365 + Salesforce: v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com -all

Ten en cuenta que spf.protection.outlook.com es un dominio DNS gestionado por Microsoft que publica el registro SPF oficial de la infraestructura de correo saliente de Microsoft 365. Contiene la lista autorizada de servidores de correo y rangos de IP que Microsoft 365 puede usar al enviar correo en nombre de los dominios de sus clientes

⚠️ Advertencia: termina siempre la sintaxis con -all para aplicar un rechazo estricto (hard fail). Así se bloquean activamente los remitentes no autorizados.

3. Publica el registro DNS siguiendo estos pasos:
   • Inicia sesión en tu servidor DNS (por ejemplo, GoDaddy, Cloudflare).
   • Crea un nuevo registro TXT.
   • Pon el campo Host en @ (o el nombre de tu dominio raíz).
   • Pega tu registro SPF (del paso anterior) en el campo Valor/Contenido.
   • Guarda los cambios.
4. Verifica el resultado con estos pasos:
   • Abre el símbolo del sistema o Windows Terminal (Win + X).
   • Ejecuta este comando:

• • Revisa la salida para localizar tu registro SPF.
  • Confírmalo con el verificador de SPF de MXToolbox.

En un plazo de 24 a 48 horas, el correo legítimo de tus servicios superará las comprobaciones de SPF y los correos suplantados deberían fallar el proceso de autenticación SPF. Verás los resultados de SPF con pass/fail en las cabeceras del correo.

Cómo activar la firma DKIM

DomainKeys Identified Mail (DKIM) añade una firma digital única a los correos que envías. Esa firma la genera el servidor de correo remitente con una clave criptográfica privada.

La clave pública correspondiente se publica en el DNS como registro DKIM. Cuando el servidor receptor recibe el correo, obtiene la clave pública del DNS y la usa para validar la firma.

📌 Caso de uso: activa DKIM de inmediato si envías correo empresarial, sea transaccional, de marketing o interno. Es obligatorio para aplicar DMARC y evita que los atacantes manipulen tus mensajes.

Procedimiento paso a paso:

1. Genera tus claves DKIM. Ten en cuenta que tu servicio de correo crea las claves criptográficas automáticamente::

• En servicios cloud: no hace falta hacer nada, porque las claves se generan automáticamente al activar DKIM.
  • • Microsoft 365: encontrarás la clave en el portal de Microsoft Defender > Correo electrónico y colaboración > Directivas y reglas > Directivas de amenazas > Configuración de autenticación de correo > DKIM. (También puedes saltarte toda la navegación con este enlace directo: https://security.microsoft.com/authentication?viewid=DKIM).
    • Google Workspace: encontrarás la clave en Consola de administración > Aplicaciones > Gmail > Autenticar correo electrónico.
• En servidores autoalojados: usa herramientas como OpenSSL o el asistente DKIM de tu servidor de correo.

💡 Consejo: usa claves de 2048 bits siempre que tu proveedor lo permita; 1024 bits es el mínimo técnico que todavía aceptan la mayoría de proveedores, pero 2048 bits es ya el estándar recomendado por su mayor resistencia al descifrado de claves.

2. Publica tus registros DNS:

• • Obtén el registro DKIM de tu proveedor de correo:
    • Microsoft 365: registros CNAME (ver más abajo)
    • Google Workspace: registro TXT
    • Otros: TXT o CNAME
  • Inicia sesión en tu proveedor de DNS (por ejemplo, Cloudflare, GoDaddy)
  • Añade los siguientes registros:

⚠️ Importante: sustituye [domain] por tu dominio y [tenant] por el nombre de tu tenant de Microsoft 365.

Nota: Microsoft 365 usa dos registros DKIM para poder rotar las claves de forma transparente, manteniendo la autenticación de correo sin interrupciones y reforzando la seguridad general

3. Verifica la configuración con estos pasos:

• • Abre el símbolo del sistema o PowerShell en Windows Terminal (Win + X).
  • En el símbolo del sistema, ejecuta lo siguiente:

• • En PowerShell, usa este script:

• • • Busca Enabled: True y Status: CNAMEValid.

• • Prueba por correo: envía un mensaje a [email protected] y revisa las cabeceras de la respuesta.

Una vez configurado, todos los correos salientes deberían incluir una cabecera DKIM-Signature en un plazo de 24 horas. Los receptores podrán validar los mensajes con tu clave pública publicada en el DNS, y los correos falsificados o modificados fallarán las comprobaciones DKIM. Los informes DMARC también deberían mostrar dkim=pass para el correo legítimo.

Cómo publicar la política DMARC

DMARC actúa como el encargado de aplicar la política de tu dominio: indica a los proveedores de correo cómo tratar los mensajes no verificados y entrega informes clave sobre suplantación. Es la última capa de blindaje de la protección contra la suplantación de correo electrónico.

📌 Caso de uso: despliega DMARC cuando SPF y DKIM ya estén activos. Es imprescindible en todos los dominios para bloquear el phishing, tener visibilidad del tráfico de correo y aplicar protección contra la suplantación de remitentes.

Procedimiento paso a paso:

1. Confirma que SPF y DKIM (métodos 1 y 2) están activos y pasando las comprobaciones en todas las fuentes de correo. Es un requisito imprescindible para DMARC.
2. Crea tu registro DMARC con estos pasos:
   • Crea un registro TXT en el DNS de tu dominio con esta sintaxis:

• • Qué significa cada parte:
    • p= (política): indica a los servidores receptores qué hacer con el correo no autenticado. Elige una opción:
      • p=none: solo monitorización (empieza por aquí).
      • p=quarantine: envía los fallos a spam.
      • p=reject: bloquea directamente los fallos.
    • rua= (informes): te envía informes agregados diarios, esenciales para detectar suplantaciones y arreglar el flujo de correo legítimo.
  • De forma opcional, estas etiquetas son útiles para ajustar la configuración:
    • pct=5: aplica tu política solo al 5 % del correo que falla (facilita la transición).
    • sp=quarantine: define una política distinta para tus subdominios.
    • adkim=r; aspf=r: usa alineación «relajada» (lo habitual en la mayoría de configuraciones).

3. Publica el registro DNS de la siguiente manera:
   • Inicia sesión en tu proveedor de DNS (por ejemplo, Cloudflare, GoDaddy)
   • Crea un registro TXT:
     • Host: _dmarc
     • Valor: la cadena de tu política DMARC
     • TTL: 3600 (1 hora)
4. Verifica los cambios:
   • Abre el símbolo del sistema o Windows Terminal (Win + X).

• • Para una comprobación online, usa MXToolbox DMARC Lookup

5. Monitoriza y endurece la política:
   • Analiza los informes que llegan a la bandeja de entrada de rua durante 2 semanas.
   • Actualiza SPF y DKIM de forma constante para los remitentes legítimos.
   • Escala la política: none > quarantine > reject.

En las 72 horas siguientes a la configuración, tus informes XML diarios deberían mostrar los remitentes legítimos y fraudulentos, las tasas de éxito de SPF y DKIM, los focos geográficos de amenazas y qué correos se enviaron a cuarentena o se rechazaron.

Usar PowerShell para gestionar DKIM y DMARC en Microsoft 365

PowerShell agiliza la gestión de la seguridad del correo en Microsoft 365 con la eficiencia de la línea de comandos. Úsalo para aplicar la protección contra la suplantación de correo electrónico más rápido que con las herramientas gráficas.

📌 Caso de uso: es ideal para administradores de TI que gestionan varios dominios, automatizan despliegues o solucionan problemas en los registros de SPF/DKIM/DMARC. También es imprescindible para aplicar políticas a gran escala.

Procedimiento paso a paso:

1. Conéctate a Exchange Online:
   • Para ello, abre PowerShell (como administrador) y ejecuta este script:

2. Activa la firma DKIM con estos pasos:
   • Ejecuta este script:

• • Verifícalo con este script:

💡 Nota: busca Enabled: True y Status: CNAMEValid

3. Obtén los registros de SPF/DKIM/DMARC ejecutando este script:

• • La salida debería mostrar los resultados de autenticación de cada correo enviado.

4. Consulta trazas detalladas (Microsoft Defender) ejecutando este script.

Tras la ejecución, la firma DKIM se activa de inmediato para el correo saliente. Los registros deberían revelar las tasas de éxito y fallo de SPF y DKIM, el estado de alineación de DMARC y los remitentes sospechosos.

Cómo reforzar el correo con GPO y el Registro (solo clientes Windows)

SPF, DKIM y DMARC protegen los servidores, pero reforzar los clientes de correo de Windows añade defensas críticas en la capa de usuario frente a la suplantación.

📌 Caso de uso: aplícalo cuando los empleados usen Outlook en equipos con Windows 11 unidos al dominio. Es imprescindible para los equipos de finanzas y RR. HH. que manejan datos sensibles.

Procedimiento paso a paso:

Método A: edición del Registro (un solo PC)

1. Pulsa Win + R y escribe regedit para abrir el Editor del Registro. Asegúrate de tener privilegios administrativos.
2. Ve a esta ruta o pégala en la barra de direcciones: HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\Security
3. Crea un nuevo valor DWORD (32 bits):
   • Llámalo ShowSenderAsFrom
   • Pon Información del valor en 1.
     • Esto obliga a Outlook a mostrar la dirección del buzón en el campo De cuando los correos se envían con permisos Enviar como o de buzón compartido, en lugar de mostrar «en nombre de».

Método B: directiva de grupo (todo el dominio)

1. Abre el Editor de administración de directivas de grupo.
2. Ve a Configuración de usuario > Plantillas administrativas > Microsoft Outlook 2016 > Seguridad
3. Activa dos directivas:
   • Advertir sobre direcciones de remitente ambiguas
   • Mostrar siempre la dirección De en las cabeceras del correo
4. Aplícalo ejecutando gpupdate /force en los PC cliente.

Tras la implementación, Microsoft Outlook empieza a mostrar advertencias cuando el remitente y el campo «responder a» no coinciden, las cabeceras completas se ven sin necesidad de complementos y el equipo de TI gana visibilidad sobre posibles intentos de suplantación a través de los registros del Visor de eventos. Además, es una señal extra para detectar mensajes falsificados con apariencia interna que la autenticación por sí sola no detiene (por ejemplo, una cuenta de partner comprometida con SPF/DKIM válidos).

⚠️ Aspectos a tener en cuenta

En esta sección destacamos los posibles problemas que conviene tener presentes al seguir esta guía.

Consejos para configurar la protección contra la suplantación de correo electrónico

Sigue estos consejos prácticos para evitar los errores más habituales al desplegar la protección contra la suplantación de correo electrónico. Optimiza tu configuración pensando en la seguridad y en la entregabilidad.

¿Por qué falla SPF tras 10 consultas DNS?

SPF falla si las consultas DNS superan las 10, lo que provoca el rebote de correos legítimos. Evítalo aplanando los includes:; sustituye las declaraciones include: anidadas por listas directas de ip4:/ip6:.

También puedes usar macros SPF consolidando los proveedores (include:%{i}._spf.example.com). Conviene probarlo a fondo con este script:

¿Debo empezar con p=reject o con p=none?

No empieces nunca con p=reject. Corres el riesgo de bloquear correos válidos en silencio. En su lugar, despliega p=none durante 2-4 semanas para recopilar informes. Después, corrige las carencias de SPF/DKIM de los remitentes legítimos.

Luego escala a p=quarantine (spam) > p=reject (bloqueo). La aplicación gradual evita interrupciones en el negocio y, al mismo tiempo, maximiza la protección frente a la suplantación de remitentes.

¿Con qué frecuencia debo rotar las claves DKIM?

Los cambios de clave sin documentar rompen el flujo de correo. Para una gestión a prueba de balas, anota los selectores (por ejemplo, selector1, google) en un gestor de contraseñas, rota las claves cada 6 meses desde la consola de administración de tu correo y haz una auditoría trimestral con este comando:

¿Es mejor usar una herramienta DMARC gestionada que administrar el DNS a mano?

Si la gestión manual del DNS y de PowerShell se te hace cuesta arriba, apuesta por plataformas pensadas para MSP, como PowerDMARC, Proofpoint o Valimail. Pueden configurar SPF/DKIM/DMARC automáticamente, traducir los informes a un lenguaje claro y avisarte de ataques de suplantación en tiempo real. Es la opción ideal para equipos que no tienen administradores de correo dedicados ni monitorización 24/7.

Protección contra la suplantación de correo electrónico: detén el phishing antes de que empiece

Configurar SPF, DKIM y DMARC es tu primera línea de defensa frente al phishing, el fraude con facturas y la suplantación de marca que sufren las pymes. Al implementar estos protocolos, refuerzas la confianza en tu dominio, bloqueas los correos suplantados en el servidor y obtienes una visibilidad clave sobre los patrones de ataque.

Empieza con el -all de SPF, añade la firma criptográfica de DKIM y deja que los informes DMARC te guíen para endurecer la política. Recuerda que una sola «petición del CEO» falsificada que se cuele puede arruinar a un cliente.

Temas relacionados

• Entender y prevenir los ataques de suplantación de correo electrónico
• ¿Qué es el spoofing?
• Ejemplos de correos de phishing: cómo identificar un correo fraudulento
• ¿Qué es el fraude del CEO o Business Email Compromise (BEC)?
• 10 buenas prácticas de seguridad en servidores de correo que debes conocer