Autenticación de correo electrónico
La autenticación de correo electrónico es el conjunto de estándares basados en DNS que permiten a los servidores de correo receptores verificar que un mensaje realmente provino del dominio que dice representar — y rechazarlo cuando no es así. Tres estándares fundamentales hacen el trabajo: SPF autoriza qué servidores pueden enviar en nombre de tu dominio, DKIM añade una firma criptográfica que demuestra que un mensaje
La autenticación de correo electrónico es el conjunto de estándares basados en DNS que permiten a los servidores de correo receptores verificar que un mensaje realmente provino del dominio que dice representar — y rechazarlo cuando no es así. Tres estándares fundamentales hacen el trabajo: SPF autoriza qué servidores pueden enviar en nombre de tu dominio, DKIM añade una firma criptográfica que demuestra que un mensaje no fue alterado, y DMARC vincula ambos con la dirección From visible e indica a los receptores qué hacer cuando una comprobación falla.
En conjunto, SPF, DKIM y DMARC transforman un protocolo abierto que no confía en nadie en uno donde los proveedores de bandeja de entrada pueden distinguir tu correo legítimo de las suplantaciones. Este centro explica qué demuestra cada estándar, cómo se combinan en un único veredicto por capas, y dónde profundizar en cada uno de ellos.
Por qué existe la autenticación de correo electrónico
SMTP, el protocolo que transporta prácticamente todo el correo electrónico, fue diseñado en una era de confianza mutua. No tiene ninguna forma integrada de comprobar que el remitente es quien dice ser. Cualquiera puede conectarse a un servidor de correo y establecer la dirección From en lo que quiera — tu banco, tu director ejecutivo o tu propio dominio. Nada en el protocolo base lo impide.
Esa brecha es exactamente lo que los atacantes explotan. La suplantación de correo electrónico falsifica la dirección del remitente para hacer que un mensaje parezca legítimo, y las campañas de phishing se apoyan en ella para robar credenciales, redirigir facturas o instalar malware. La autenticación de correo electrónico cierra la brecha publicando señales verificables en DNS — señales que un falsificador no puede simular sin controlar tu dominio y tus claves privadas. Cuando esas señales están implementadas y se aplican, el correo suplantado se detecta y rechaza antes de llegar a una bandeja de entrada.
SPF, DKIM y DMARC de un vistazo
Cada estándar responde a una pregunta diferente, y cada uno vive en un lugar distinto. Así es como encajan.
| Estándar | Qué demuestra | Dónde vive |
|---|---|---|
| SPF | El servidor que se conecta está autorizado a enviar en nombre de tu dominio | Un registro TXT en el DNS de tu dominio |
| DKIM | El mensaje lleva una firma criptográfica válida y no fue alterado en tránsito | Un encabezado de firma en el mensaje, verificado contra una clave pública en DNS |
| Verificador DMARC | SPF y/o DKIM pasan y se alinean con el dominio From visible, además de una política para los fallos | Un registro TXT en DNS, aplicado por el receptor |
SPF y DKIM validan cada uno una pieza del rompecabezas. DMARC es la capa que decide si esas piezas realmente protegen la dirección que ven tus destinatarios.
Cómo funcionan los tres juntos
Los tres estándares forman una comprobación por capas que un servidor receptor ejecuta en cada mensaje.
Primero, SPF examina la dirección IP que se conectó y pregunta si el registro SPF de tu dominio la autoriza a enviar. Esto valida el sobre — el servidor, no el mensaje.
Segundo, DKIM verifica la firma criptográfica adjunta al mensaje contra la clave pública publicada en tu DNS. Una firma válida demuestra que el cuerpo del mensaje y los encabezados clave no fueron manipulados después de firmarse.
Tercero, DMARC vincula ambos resultados con el dominio que tus destinatarios realmente ven en el campo From. Requiere alineación: el dominio que pasó SPF o DKIM debe coincidir con el dominio From. Esto importa porque un suplantador puede pasar fácilmente SPF o DKIM para un dominio que él controla — la alineación es lo que fuerza la comprobación sobre tu dominio.
Fundamentalmente, DMARC necesita que al menos uno de SPF o DKIM pase y se alinee. DMARC por sí solo no autentica nada; es la capa de política y alineación que da fuerza a SPF y DKIM. Cuando la alineación falla, DMARC aplica la exigencia que publicaste: none (solo monitorizar), quarantine (enviar a spam) o reject (rechazar el mensaje directamente). Pasar de none a reject es cómo se pasa de observar las suplantaciones a bloquearlas.
Compararlos uno a uno
Como los tres estándares se solapan en propósito pero difieren en mecanismo, ayuda compararlos por pares. Cada guía a continuación profundiza en una comparación — qué demuestra cada uno, en qué se diferencian y por qué normalmente necesitas ambos.
- SPF vs DKIM — autorización del servidor frente a firma del mensaje.
- DKIM vs DMARC — firma frente a alineación y política.
- SPF vs DMARC — autorización de la ruta frente a exigencia.
Más allá de los tres grandes
Dos estándares más recientes se construyen sobre una base autenticada.
BIMI (Brand Indicators for Message Identification) permite que tu logotipo verificado aparezca junto a los mensajes autenticados en las bandejas de entrada compatibles. Solo funciona una vez que DMARC se aplica en quarantine o reject, por lo que es una recompensa por hacer bien los fundamentos, más que un sustituto de ellos. Aprende más en la guía de BIMI.
MTA-STS (Mail Transfer Agent Strict Transport Security) protege el correo en tránsito indicando a los servidores emisores que exijan cifrado TLS y rechacen los ataques de degradación que de otro modo expondrían los mensajes a interceptación. Donde SPF, DKIM y DMARC verifican al remitente, MTA-STS asegura la propia conexión. Consulta la guía de MTA-STS para la configuración.
Hacer bien los tres
No tienes que adivinar si tus registros son válidos. Construye y verifica cada capa con una herramienta dedicada: comprueba tu política de remitentes con el Verificador SPF, confirma que tu firma está publicada y se analiza correctamente con la Búsqueda DKIM, y valida la alineación y la política con el Verificador DMARC.
Lo más común que rompe silenciosamente una configuración es un registro SPF que supera el límite de 10 búsquedas. Cada include, a, mx y redirect de tu registro cuenta, y en cuanto superas las diez búsquedas DNS, SPF devuelve un permerror — el correo legítimo empieza a fallar la autenticación aunque el registro parezca correcto. AutoSPF evita esto automáticamente aplanando tu registro en un conjunto compacto y siempre válido de IP y manteniéndolo por debajo del límite a medida que cambian tus remitentes, de modo que este modo de fallo nunca vuelva a aparecer.
Preguntas frecuentes
¿Qué es la autenticación de correo electrónico?
La autenticación de correo electrónico es un grupo de estándares basados en DNS — principalmente SPF, DKIM y DMARC — que permiten a los servidores de correo receptores verificar que un mensaje realmente provino del dominio que dice representar. Como SMTP no tiene verificación de remitente integrada, estos estándares publican señales que los falsificadores no pueden simular, permitiendo a los proveedores de bandeja de entrada detectar y bloquear los mensajes suplantados o de phishing.
¿Cuál es la diferencia entre SPF, DKIM y DMARC?
SPF autoriza qué servidores pueden enviar correo en nombre de tu dominio. DKIM añade una firma criptográfica que demuestra que un mensaje no fue alterado en tránsito. DMARC vincula ambos resultados con la dirección From visible mediante la alineación e indica a los receptores qué hacer cuando las comprobaciones fallan. SPF y DKIM validan cada uno una pieza; DMARC los combina en una política aplicable.
¿Necesito los tres, SPF, DKIM y DMARC?
Sí. SPF y DKIM cubren cada uno solo una parte del panorama, y DMARC requiere que al menos uno de ellos pase y se alinee antes de poder proteger la dirección que los destinatarios realmente ven. Omitir cualquier capa deja una brecha: sin DMARC no hay exigencia, y sin SPF o DKIM no hay nada con lo que DMARC pueda alinearse.
¿Cuál debo configurar primero — SPF, DKIM o DMARC?
Empieza con SPF, ya que es el más sencillo de publicar y las demás capas dependen de él. Añade DKIM a continuación para que los mensajes lleven una firma verificable. Despliega DMARC en último lugar, comenzando con la política none para monitorizar los informes, y luego endurécela a quarantine y finalmente reject una vez que hayas confirmado que tu correo legítimo pasa y se alinea.