Protección para sobrevivir a los ciberataques
Dirección debería saber qué hacen SPF, DKIM y DMARC, quién los gestiona y cómo se supervisan. Estos controles ayudan a comprobar si un mensaje enviado con el dominio de la empresa procede de una infraestructura autorizada y qué hacer cuando la comprobación falla.
No son un antivirus universal ni una garantía contra el fraude. Dirección no necesita configurarlos, pero sí saber qué riesgo reducen, quién es responsable y cómo se supervisan.
Puntos principales
- SPF declara qué servidores pueden enviar por el dominio.
- DKIM añade una firma que permite comprobar integridad y origen técnico.
- DMARC conecta ambos controles con una política y genera informes.
- La implantación debe inventariar remitentes legítimos antes de endurecer la política.
Tres controles que trabajan juntos
Una política estricta publicada sin inventario puede bloquear mensajes legítimos de marketing, facturación o soporte. Por eso la implantación debe pasar por observación, corrección y endurecimiento progresivo.
- SPF: lista servicios autorizados para enviar correo en nombre del dominio.
- DKIM: firma determinados mensajes para comprobar que no se alteraron y que pertenecen al dominio firmante.
- DMARC: exige alineación, indica qué tratamiento aplicar y permite recibir informes sobre usos del dominio.
Lo que no resuelven
- Un dominio visualmente parecido al corporativo.
- Una cuenta legítima comprometida mediante phishing.
- La suplantación de un proveedor o cliente sin protección suficiente.
- Un mensaje enviado desde servicios personales o canales alternativos.
- Un proceso de pago que confía solo en el contenido del correo.
Preguntas que dirección debe poder responder
- 01
¿Quién es propietario de los dominios y de su configuración de correo?
- 02
¿Tenemos inventario de todos los servicios que envían en nuestro nombre?
- 03
¿Qué política DMARC está publicada y qué porcentaje cubre?
- 04
¿Quién revisa los informes, los fallos y los dominios parecidos?
- 05
¿Qué procedimiento verifica pagos y cambios aunque el mensaje parezca legítimo?
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.