Parte 1 (2022): cómo protegí el correo de mi dominio con SPF, DKIM y DMARC

Comprobación de los protocolos de seguridad y cifrado activados en mi dominio privado (2022): puntuación B+ (86 %).

Actualización (octubre de 2026): he revisado y reforzado esta configuración hasta alcanzar el 100 % en el diagnóstico de seguridad del correo. Lee la nueva entrada: Seguridad del correo en 2026: de B+ al 100 % con SPF, DKIM, DMARC y MTA-STS.

Me hace ilusión comunicaros; mi análisis basado en los protocolos de transporte dentro de mi dominio privado (servicio dns) para la evasión en la suplantación de identidad.

Cuidar el correo de tu dominio: SPF, DKIM, DMARC y cifrado en tránsito

Me hace mucha ilusión compartir con vosotros el análisis que he hecho de los protocolos de transporte de mi dominio privado, en concreto de su servicio DNS, para evitar que alguien se haga pasar por mí.

La web nos está empujando poco a poco a hacer las cosas mejor. Ya es casi imposible navegar por páginas sin HTTPS, y los algoritmos de cifrado se van renovando para que lo que viaja por la red llegue a su destino sin que nadie lo lea ni lo toque. Nuestro buzón de correo no puede quedarse atrás: tiene que cumplir con la confidencialidad (que solo lo lea quien debe) y la integridad (que el mensaje llegue tal cual salió).

A esto se suma el no repudio, es decir, poder demostrar que una de las partes participó en la comunicación y que no puede negarlo después. Conviene precisar que el no repudio pleno lo da la firma digital del mensaje (S/MIME o PGP). Con DKIM se consigue algo más modesto pero muy útil: demostrar que el correo salió realmente de un servidor autorizado de mi dominio.

El correo, un viejo conocido... y un viejo problema

El correo electrónico es uno de los servicios más antiguos de internet y también de los más difíciles de configurar bien. Se diseñó en una época en la que nadie pensaba en suplantaciones, y los atacantes lo saben. Aprovechan el desconocimiento y los descuidos en la configuración de los dominios para colar spam, phishing y spoofing (correos que parecen venir de alguien que no los ha enviado).

Qué se configura en el dominio

• SPFIndica qué servidores tienen permiso para enviar correo en nombre de mi dominio.
• DKIMFirma cada mensaje con una clave. Así el receptor comprueba que no se ha modificado por el camino y que sale de donde dice.
• DMARCLe dice al receptor qué hacer cuando SPF o DKIM no cuadran (nada, cuarentena o rechazo) y me manda informes de lo que ocurre.
• MTA-STS y TLS-RPTObligan a que el correo entre servidores viaje cifrado con TLS y me avisan si hay fallos.
• DNSSEC y DANE (opcionales)Protegen las propias respuestas DNS para que nadie pueda falsificarlas.

¿Dejaré de recibir spam?

Probablemente no, y conviene ser honestos con esto. Estas medidas protegen sobre todo a mi dominio, para que nadie lo use para engañar a otros, y ayudan a que los sistemas de detección, como el de Gmail o los filtros antispam, funcionen mejor. El spam que llega a mi buzón no desaparece, pero el correo que sale con mi nombre es más fiable.

Os invito a sumaros

Os animo a dar este paso con vuestros dominios. No hace falta ser experto: basta con empezar por SPF y DKIM, activar DMARC en modo vigilancia y ir apretando poco a poco. Entre todos, hacemos un correo más íntegro, más confidencial y más difícil de falsificar.

Os dejo en la imagen de la cabecera la comprobación de los protocolos de cifrado activados en mi dominio privado.

Continuación de este artículo: Seguridad del correo en 2026: de B+ al 100 %.