Un día un correo sospechoso que parece venir del dominio de tu propia empresa aterriza en tu propia bandeja de entrada. Primero — respira. En la mayoría de los casos esto no es una intrusión; es un remitente falsificado. Aquí está cómo distinguirlo, y cómo detenerlo (sin pasos de ataque).
Primero, tranquilidad: suplantación ≠ toma de control
Esta es la idea equivocada clave. El «remitente» en el sobre de un correo puede escribirlo libremente quien lo envía. Así que un solo correo con el nombre de tu dominio escrito no significa que hayan entrado en tu casa.
Dicho esto, un buzón realmente comprometido no es imposible. La forma de distinguir ambos es leer las cabeceras.
Usa las cabeceras para distinguir «intrusión» de «falsificación»
Detrás del cuerpo, cada correo lleva una «cabecera» — su registro de entrega (en Gmail: «Mostrar original»). Cinco campos importan más.
| Cabecera | Qué mirar | Cómo leerla |
|---|---|---|
| Authentication-Results | los resultados spf= / dkim= / dmarc= | dmarc=fail significa «la autenticación real no pasó = probable falsificación» |
| Received (una pila) | la línea inferior = el origen verdadero | si salió de un sitio que no es tu propio host, es una falsificación externa |
| Return-Path (remitente del sobre) | ¿coincide con el From visible? | una discrepancia es una señal de falsificación |
| Reply-To (destino de respuesta) | adónde va realmente una respuesta | el From parece interno pero Reply-To es una dirección externa no relacionada → una forma de conseguir que respondas al remitente |
| X-Mailer (software de envío) | ¿un nombre sensato? | galimatías aleatorio = una señal típica de una herramienta de spam automatizada |
Reply-To es la que la gente pasa por alto. El From puede parecer exactamente un colega, y sin embargo una respuesta va a una dirección externa completamente distinta, donde te harán reenviar secretos o un contacto (un código QR de chat, etc.) para secuestrar tu canal de comunicación. No confiar en el From por su apariencia es tu defensa humana más fuerte (→ qué es el phishing).
Por qué llega siquiera a tu bandeja de entrada
Un correo falsificado se cuela — ni siquiera al spam — porque el receptor no tiene base para rechazar la falsificación.
Sin política DMARC
Sin una política DMARC en tu dominio, el receptor puede detectar la falsificación del From pero no puede verse obligado a rechazarlo. Esta es la razón más grande de que llegue a la bandeja de entrada.
SPF configurado para no rechazar (~all)
Si SPF termina en ~all (softfail = «sospechoso pero no rechazar»), el receptor carece de una razón clara para rechazarlo.
El reenvío rompe SPF
Reenviar un mensaje recibido a otra dirección hace que SPF parezca «pass» contra el servidor que reenvía, mientras el From sigue siendo un dominio distinto. DMARC es lo que toma la decisión final sobre esa discrepancia.
Aquí es donde importa DKIM. SPF se rompe a través del reenvío, pero una firma DKIM sigue siendo válida. DKIM es lo que evita que el correo legítimo se rechace por error una vez que llegas a reject, y por eso configuras DKIM primero.
La corrección: SPF → DKIM → DMARC, por fases
La mecánica vive en qué son SPF / DKIM / DMARC; aquí solo está el orden seguro. Lo más importante: nunca saltes directo a reject.
Un registro SPF correcto
Activa la firma DKIM (hazlo primero)
Inicia DMARC en p=none (solo monitoreo)
p=none más recolección de informes, y vigila durante 1–2 semanas que el correo legítimo no se rechaza.Súbelo por fases hasta reject
p=quarantine → p=reject. Solo cuando se logra «las falsificaciones se rechazan en el receptor» un correo como este se rechaza antes de llegar a la bandeja del objetivo.Lo que falta cambia de un dominio a otro
Comprueba varios dominios y notarás que los ajustes que faltan son a menudo exactamente opuestos, porque cuando la configuración de envío difiere, también difiere la parte que el servicio configura por ti.
Configuración con servicio de correo
- p. ej. correo transaccional enviado mediante un servicio de entrega externo
- DKIM / DMARC tienden a autoconfigurarse en el alta
- pero SPF debes añadirlo tú mismo al DNS → ese es el hueco
Configuración por defecto del hosting
- p. ej. correo enviado directamente desde un servidor de hosting
- SPF suele estar presente desde el inicio
- pero DKIM es un interruptor manual y DMARC es tuyo de publicar → esos dos son el hueco
Ambos son «no están los tres presentes»; simplemente lo que falta está invertido. El primer paso es saber qué patrón es tu dominio.
La visión de este sitio: configurarlo no basta — solo funciona una vez que lo verificas
En este sitio tratamos la autenticación de correo como algo que solo funciona una vez que lo verificas, no «configurar y olvidar». Puedes comprobar el estado actual de tu propio dominio de una sola vez con el verificador de SPF / DKIM / DMARC o la auditoría de seguridad del sitio.
Hasta un solo valor requiere cuidado. Por ejemplo, poner fo en un registro sin dirección de informe de fallos (ruf) no hace nada; por especificación, simplemente se ignora. Esos ajustes «inofensivos pero inútiles», detectados solo en revisión, son comunes.
Lo que más importa son dos cosas: que el receptor rechace la falsificación (DMARC) y que la gente no responda al mensaje falso. Antes de la detección o los ajustes, pon primero un diseño que lo detenga por mecanismo.
Leer a continuación
- Alerta: CVE-2026-124194: abrir un archivo de mensaje en Outlook filtra el hash NTLM (explotado)
- Glosario: qué son SPF / DKIM / DMARC (la mecánica)
- Glosario: qué es el phishing
- Herramientas: verificador de SPF / DKIM / DMARC / auditoría de seguridad del sitio
- Relacionado: guía de autenticación multifactor (MFA)
- Para particulares: spam desde tu propia dirección: tres sitios que revisar para saber si te han hackeado