Protección de correo y phishing: autenticar tu dominio y blindar el pago
Dos problemas distintos comparten la misma bandeja. Uno es técnico: cualquiera firma un mensaje con tu nombre porque tu dominio no lo impide. El otro es de proceso: cambian el número de cuenta de una factura y el pago sale. Cada uno tiene su remedio.
Tus correos caen en spam y los del estafador no
Son las dos caras del mismo hueco. Si tu dominio no declara quién puede enviar en su nombre, quien recibe tiene que adivinar, y adivina en tu contra: la cotización que salió del sistema de facturación aterriza en correo no deseado. Al mismo tiempo, un tercero puede escribir a tus clientes poniendo tu dominio en el remitente y nada lo desmiente. El escenario final es el que cuesta dinero: llega un mensaje que parece de un proveedor conocido, con el hilo anterior citado, avisando que cambió su cuenta bancaria. El pago sale y se recupera muy pocas veces.
Los tres registros, y para qué sirve cada uno
SPF publica en tu zona de nombres qué servidores pueden enviar por tu dominio. Trae una trampa que rompe instalaciones enteras: el estándar limita la validación a diez consultas de nombres, y cada mecanismo de inclusión, `a`, `mx`, `ptr` o redirección cuenta una. Al pasarte, la validación entera termina en error permanente y falla como si el remitente fuera falso, sin aviso ni rebote. Quien suma facturación, mesa de ayuda, campañas y correo en la nube llega a ese techo sin darse cuenta.
DKIM firma cada mensaje con una llave privada y publica la pública bajo un selector. El servidor que recibe comprueba que el contenido no cambió en tránsito. Se usan llaves de 2048 bits y se rotan; al rotar, la llave anterior se deja publicada un tiempo para que los mensajes que iban en camino sigan validando.
DMARC es el que da sentido a los otros dos. Exige alineación: el dominio que ve la persona en el remitente tiene que coincidir con el que pasó SPF o DKIM. Sin esa condición, un mensaje puede pasar SPF con el dominio del atacante y aun así mostrar el tuyo. Además publica una política y pide informes.
De none a reject, por escalones, nunca de un salto
La política de DMARC admite tres valores y el orden en que se recorren no es una formalidad.
- `p=none`. No cambia nada en la entrega. Su único efecto es que empiezas a recibir informes diarios con todo lo que se envía usando tu dominio. Es la fase de inventario, y suele durar de dos a cuatro semanas; más si envías desde varias plataformas.
- `p=quarantine`. Lo que no autentica va a correo no deseado. Sigue siendo recuperable: si un sistema legítimo quedó mal configurado, lo notas y lo arreglas sin perder mensajes.
- `p=reject`. Se rechaza en el servidor del destinatario. Es el objetivo, y solo se activa cuando en los informes ya no queda nada tuyo fallando.
Empezar directo en rechazo es la forma más común de tumbar el correo de una empresa. La pregunta que responde la fase de observación es una sola: ¿qué sistemas legítimos siguen fallando? Mientras esa lista no esté vacía, subir la política es adivinar. Y lo que se cae primero casi nunca es el correo de las personas: es el sistema que emite facturas, cuyo silencio nadie nota durante días.
El fraude que la autenticación no detiene
Conviene decirlo claro porque se vende lo contrario. Los tres registros impiden que alguien use tu dominio. No hacen nada cuando el mensaje llega desde un dominio parecido al de tu proveedor, ni cuando sale desde el buzón verdadero de un proveedor al que ya comprometieron: en ese caso autentica perfecto, porque es auténtico.
El tamaño del problema está documentado. En su informe anual de 2025, el centro de denuncias de delitos informáticos del FBI registró 24,768 denuncias de fraude por correo corporativo y 3,050 millones de dólares en pérdidas reportadas, y el suplantar identidades fue la categoría más denunciada del año.
Los controles que sí funcionan son de proceso, cuestan poco y no dependen de ningún equipo:
- Verificación por otra vía ante cualquier cambio de datos bancarios, llamando al teléfono que ya figuraba en tu ficha del proveedor, jamás al que trae el mensaje.
- Doble aprobación por encima de un monto que tú definas.
- Registro de dominios parecidos al tuyo, para que no los registre otro.
- Alerta cuando aparece una regla de reenvío en un buzón: suele ser la primera huella de una cuenta tomada.
Qué te queda al terminar
- Inventario de todos los sistemas que envían correo con tu dominio
- Registros SPF, DKIM y DMARC publicados y verificados desde fuera
- SPF por debajo del límite de diez consultas, con el conteo documentado
- Calendario de subida de política, de observación a cuarentena y a rechazo
- Procedimiento escrito de verificación de cambios de cuenta bancaria
El trabajo, paso a paso
Diagnóstico
Revisamos tu zona de nombres, contamos las consultas del SPF y comprobamos la firma de los mensajes que ya envías.
Propuesta
Registros a publicar, orden de la subida de política y qué sistemas van a necesitar arreglo, con plazos y alcance.
Implementación
Publicación en observación, lectura de informes, corrección de cada remitente legítimo y subida escalonada de la política.
Soporte
En horario de oficina, de lunes a viernes: lectura de informes y ajuste cada vez que sumes una plataforma nueva.
Preguntas sobre correo y suplantación
¿Por qué mis correos llegan a la carpeta de no deseados?
Casi siempre porque el dominio no autentica bien: falta la firma, el SPF pasó el límite de diez consultas o el remitente que ve el destinatario no coincide con el que autenticó. Se diagnostica en una revisión corta y suele arreglarse el mismo día.
¿DMARC frena el phishing?
Frena el que usa tu dominio exacto, que es una parte. No frena un dominio parecido ni un buzón legítimo comprometido. Por eso la protección del correo tiene dos mitades: una técnica y otra de procedimiento.
¿Cuánto tarda llegar a rechazo?
Con pocos remitentes, unas semanas. Con facturación, campañas y mesa de ayuda, dos o tres meses es honesto. El tiempo lo marcan los informes, no el cronograma.
¿El reenvío automático rompe la autenticación?
Rompe SPF, porque quien reenvía no está en tu lista de servidores permitidos. La firma DKIM sí suele sobrevivir si el contenido no se altera, y por eso DMARC acepta que valide cualquiera de las dos.
¿Necesito una herramienta para leer los informes?
Los informes llegan como archivos XML pensados para máquinas. Se pueden leer a mano las primeras semanas, pero con varios remitentes conviene un procesador. Nosotros te entregamos el resumen legible, que es lo que de verdad se usa.
¿Y si quien me escribe es un proveedor al que ya comprometieron?
Ese mensaje autentica bien y no hay registro que lo detenga. Lo único que corta el fraude ahí es el procedimiento: verificar por otra vía cualquier cambio de cuenta, siempre, aunque el hilo lleve meses de conversación encima.
Lo que sostiene esto por debajo
Autenticar el dominio es la mitad barata. La otra mitad es lo que pasa cuando alguien sí hace clic:
- El aislamiento interno, para que un equipo infectado no alcance a los servidores.
- La copia que se puede restaurar, que es el único control que devuelve la operación.
- El acceso remoto bien hecho, porque la credencial robada por correo se usa para entrar por ahí.
- El perímetro, que corta la llamada del programa malicioso a su servidor de control.
Todo lo que hacemos está listado en servicios.
Dónde encaja esto
«Protección de correo y phishing» cae dentro de ciberseguridad, y ese bloque cuelga de Soluciones.
Revisemos qué dice hoy tu dominio
En una revisión corta te decimos si tu SPF se pasó del límite, si tus mensajes van firmados y qué política tienes publicada. Es la comprobación más barata de toda la lista y suele explicar por qué tus cotizaciones no llegan.