SPF, DKIM y DMARC explicados sin tecnicismos
El correo electrónico se diseñó en una época en la que nadie pensaba en suplantaciones. Cualquiera podía escribir en un mensaje el remitente que quisiera, igual que cualquiera puede escribir cualquier remite en el sobre de una carta. Para poner orden se añadieron, con los años, tres comprobaciones. Tienen nombres de sopa de letras, pero la idea detrás de cada una es muy sencilla.
SPF: la lista de carteros autorizados
SPF permite a un dominio publicar la lista de servidores que pueden enviar correo en su nombre. Cuando llega un mensaje que dice venir de tuempresa.com, el servidor que lo recibe consulta esa lista y comprueba si el servidor que lo ha entregado está en ella.
Es como si una empresa dejara en la oficina de correos la relación de los carteros autorizados a repartir su correspondencia. Si llega una carta suya traída por alguien que no figura en la lista, algo no cuadra.
SPF tiene una limitación: comprueba quién entrega el mensaje, pero no garantiza que el contenido no se haya alterado ni que el remitente que ve el destinatario sea el mismo que se ha comprobado.
DKIM: el sello lacrado
DKIM resuelve esa parte. Cada mensaje sale con una firma digital que solo puede generar quien tiene la clave del dominio, y el dominio publica la parte pública de esa clave para que cualquiera pueda comprobarla.
Funciona como el lacre de las cartas antiguas: si el sello está intacto y es el de la casa, sabes que la carta viene de quien dice y que nadie la ha abierto ni cambiado por el camino. Si el mensaje se ha manipulado, la firma deja de cuadrar.
DMARC: las instrucciones para el receptor
SPF y DKIM dicen si un mensaje supera una comprobación, pero no qué hacer si no la supera. De eso se encarga DMARC. Con él, el dominio publica sus instrucciones: si llega un correo en mi nombre que no pasa las comprobaciones, entrégalo de todas formas, mándalo a spam o recházalo.
DMARC añade además una exigencia clave, la alineación. No basta con que el mensaje supere SPF o DKIM con cualquier dominio: tiene que hacerlo con el mismo dominio que aparece como remitente, el que ve quien lo lee. Es lo que impide que alguien envíe correo con tu nombre en el remite y credenciales de otro.
Y DMARC permite pedir informes. Los grandes proveedores envían periódicamente al dominio un resumen de los correos que han recibido en su nombre y de si superaron las comprobaciones. Es la única forma de saber si alguien está intentando suplantarte o si alguno de tus propios envíos está fallando.
Cómo encajan las tres
Juntas forman un envío certificado. SPF dice quién puede repartir tu correo, DKIM demuestra que cada mensaje es auténtico y no se ha tocado, y DMARC dice qué hacer con lo que no cumple y te cuenta lo que pasa.
Un dominio con las tres bien configuradas tiene mucho ganado para que su correo llegue. Uno sin ellas, o con ellas a medias, depende de la benevolencia de los filtros, y esa benevolencia se ha acabado.
Por qué ya no son opcionales
Durante años, SPF, DKIM y DMARC fueron una recomendación que pocos seguían. Hoy los grandes proveedores de correo los exigen, y han ido cerrando además otras puertas por las que se colaba el correo mal identificado. Qué han cambiado exactamente, y cuándo, es lo que contamos en la siguiente página.