Guía
SPF, DKIM y DMARC: proteger el correo de una pyme
SPF, DKIM y DMARC impiden que se envíen correos falsos en su nombre y ayudan a que sus mensajes reales lleguen. Google, Yahoo y Microsoft ya los exigen a los grandes remitentes. Le explicamos con claridad lo que hacen y cómo implantarlos sin bloquear sus propias facturas.
Actualizado el 18 de octubre de 2026 · Las cifras tienen su fuente al pie de página; las valoraciones son de IT CyberWall.
Por qué le concierne
Cualquiera puede enviar un correo que parezca proceder de su dominio: una factura falsa a sus clientes, una orden de transferencia falsa a su contable. Tres ajustes, publicados en el DNS de su nombre de dominio, permiten a los servidores de correo de sus destinatarios reconocer sus mensajes reales. Protegen su correo y su reputación, no sus datos: no son una copia de seguridad.
SPF, DKIM y DMARC con claridad
| Ajuste | Lo que indica | Imagen |
|---|---|---|
| SPF | La lista de servidores autorizados a enviar mensajes en nombre de su dominio[1]. | La lista de carteros autorizados. |
| DKIM | Una firma digital añadida a cada mensaje, que vincula el mensaje a su dominio[2]. | El sello de la empresa en el sobre. |
| DMARC | Su instrucción a los destinatarios cuando un mensaje no supera los controles (no hacer nada, enviarlo a correo no deseado, rechazarlo), y el envío de informes[3]. | La instrucción dejada en recepción. |
La ANSSI dedica a estos tres mecanismos una parte de sus recomendaciones sobre la interconexión de un sistema de información a internet[4].
Lo que exigen Google, Yahoo y Microsoft
- Google, desde el 1 de febrero de 2024: SPF o DKIM para todos los remitentes; SPF, DKIM y DMARC para quienes envían más de 5 000 mensajes al día a Gmail[5].
- Yahoo: SPF o DKIM para todos; SPF, DKIM y DMARC para los envíos masivos[6].
- Microsoft Outlook.com, desde el 5 de mayo de 2025: SPF, DKIM y DMARC para los dominios que envían más de 5 000 mensajes al día; si no, los mensajes van a correo no deseado y después se rechazan[7].
Incluso a una pyme que envía pocos mensajes le conviene publicar los tres: sus facturas y presupuestos llegan mejor, y su nombre es más difícil de suplantar.
La implantación, paso a paso
- Identificar todo lo que envía mensajes en su nombre: correo, software de facturación, CRM, sitio web, herramienta de e-mailing, impresora que envía escaneos.
- Publicar un SPF que enumere estos remitentes, sin olvidar ninguno.
- Activar DKIM en cada servicio que lo permita.
- Publicar un DMARC en observación (política «none») y recibir los informes.
- Leer los informes durante unas semanas: revelan los remitentes olvidados y las suplantaciones.
- Endurecer progresivamente: envío a correo no deseado («quarantine») y después rechazo («reject»), que es lo que recomienda Microsoft[7].
Lo que hace IT CyberWall
Hacemos el inventario de sus remitentes, publicamos y probamos los registros SPF, DKIM y DMARC, leemos los informes con usted y endurecemos la política cuando no hay riesgo. Es una intervención breve, que se integra en nuestros servicios de ciberseguridad.
¿Sus correos llegan a la carpeta de correo no deseado o suplantan su nombre?
Comprobamos sus registros e implantamos SPF, DKIM y DMARC.
Fuentes
Fuentes consultadas el 18 de octubre de 2026. Las tarifas de los proveedores se indican sin impuestos, en la divisa y la región de la tarifa publicada, y pueden cambiar: compruebe siempre la página oficial antes de decidir.
- IETF – RFC 7208, Sender Policy Framework (SPF), abril de 2014 — www.rfc-editor.org/rfc/rfc7208
- IETF – RFC 6376, DomainKeys Identified Mail (DKIM) Signatures, septiembre de 2011 — www.rfc-editor.org/rfc/rfc6376
- IETF – RFC 9989, DMARC (mayo de 2026, sustituye a la RFC 7489) — www.rfc-editor.org/rfc/rfc9989
- ANSSI – Recommandations relatives à l’interconnexion d’un système d’information à internet, v3.0 (19 de junio de 2020), § 5.4 — messervices.cyber.gouv.fr/guides/recommandations-relatives-linterconnexion-dun-si-internet
- Google – Consignes pour les expéditeurs de messages — support.google.com/a/answer/81126?hl=fr
- Yahoo – Sender Best Practices — senders.yahooinc.com/best-practices/
- Microsoft – Outlook.com Policies, Practices, and Guidelines — substrate.office.com/ip-domain-management-snds/Postmaster/Policies