Enviaste esa factura crítica hace tres días y el cliente asegura que nunca la recibió. Le diste seguimiento, y ahí estaba: en su carpeta de spam, junto a otros dos correos de tu dominio. ¿Te suena? Para la mayoría de las pequeñas y medianas empresas, los problemas de entregabilidad no son casualidad. Son el resultado predecible de una autenticación de correo débil o inexistente, y cuestan dinero de verdad en pagos atrasados, negocios perdidos y confianza dañada. ¿La buena noticia? Puedes auditar y corregir tu infraestructura de correo hoy mismo, gratis, en menos de treinta segundos.
¿Qué es la autenticación de correo y por qué debería importarte?
La autenticación de correo es el conjunto de mecanismos basados en DNS que permiten a los receptores (Gmail, Outlook, Apple Mail, pasarelas corporativas) verificar que un correo que dice venir de tu dominio fue enviado de verdad por alguien que tú autorizaste. Sin ella, cualquiera en internet puede suplantar tu dominio, hacerse pasar por tu CEO y engañar a tus clientes para que transfieran dinero a los atacantes. Con ella, los receptores saben que tus mensajes son legítimos y los entregan en la bandeja de entrada en lugar de la carpeta de spam.
Los tres pilares de la autenticación de correo, es decir SPF, DKIM y DMARC, trabajan juntos para responder una pregunta fundamental: «¿Este correo realmente vino del dominio que dice?» Cuando incluso uno de los pilares está mal configurado, abres la puerta a problemas de entregabilidad, suplantación de marca y ataques de compromiso de correo empresarial (BEC). Según los datos del Centro de Quejas de Delitos en Internet del FBI, el BEC lleva años siendo la categoría de cibercrimen más costosa de Estados Unidos, con 24,768 denuncias y 3,050 millones de dólares en pérdidas reportadas solo en 2025, según el Centro de Quejas de Delitos en Internet del FBI. La primera línea de defensa contra el BEC es una autenticación de correo bien configurada.
SPF: ¿quién está autorizado a enviar por tu dominio?
SPF significa Sender Policy Framework (marco de políticas del remitente). Es un único registro TXT de DNS que lista cada dirección IP y cada servicio de terceros autorizado a enviar correo en nombre de tu dominio. Un registro SPF típico se ve así:
v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all
Cuando un receptor recibe un correo de tu dominio, consulta tu registro SPF y comprueba si la dirección IP del servidor emisor está en tu lista de autorizados. Si lo está, SPF aprueba. Si no, el correo es sospechoso. El error de SPF más común es superar el límite de diez consultas DNS (cada include: cuenta, y muchos includes tienen includes anidados), lo que causa un fallo permanente aunque el registro parezca válido. El segundo error más común es dejar ~all como «fallo suave» para siempre en lugar de pasar a -all «fallo duro» cuando ya confías en tu lista.
DKIM: una firma criptográfica para cada correo saliente
DKIM, o DomainKeys Identified Mail, toma un enfoque distinto. En lugar de listar quién puede enviar, con DKIM tu servidor de correo adjunta una firma criptográfica a cada mensaje saliente. Los receptores obtienen la clave pública correspondiente de tu DNS, típicamente en selector._domainkey.tudominio.com, y verifican la firma matemáticamente. Si coincide, el correo no fue manipulado en tránsito y realmente salió de tu infraestructura.
DKIM no publica un índice público de selectores válidos, y por eso la mayoría de los proveedores usa nombres predecibles como google, selector1, s1024, k1 o 20230601. Cuando auditas tu dominio, las herramientas tienen que probar por fuerza bruta los selectores conocidos que usan Microsoft 365, Google Workspace, Mailgun, SendGrid, Mailchimp, Postmark, Amazon SES y decenas de proveedores más.
Dos detalles técnicos que sorprenden a los administradores. Primero, la longitud de clave DKIM recomendada hoy es de 2048 bits. Muchos selectores viejos siguen usando claves de 1024 bits, que en 2026 se consideran débiles y que algunos receptores marcan como tales. Segundo, las claves DKIM deben rotarse periódicamente (cada seis a doce meses para remitentes de alto volumen). La mayoría de las plataformas de correo administradas las rotan automáticamente; si la tuya no lo hace, ponte un recordatorio en el calendario.
DMARC: la política que les dice a los receptores qué hacer
SPF y DKIM les dicen a los receptores si un correo está autenticado. DMARC les dice qué hacer cuando la autenticación falla. Un registro DMARC es una única entrada TXT de DNS en _dmarc.tudominio.com que se ve así:
v=DMARC1; p=reject; rua=mailto:[email protected]; fo=1
La parte crítica es la política: p=none significa «monitorea pero entrega todo», p=quarantine significa «manda los fallos a spam» y p=reject significa «bloquea los fallos por completo». La mayoría de los dominios empieza con p=none para recolectar reportes sin riesgo, pero la trampa es quedarse ahí para siempre. Un dominio estancado en p=none está funcionalmente indefenso ante la suplantación: los receptores ven la política y dejan pasar el correo suplantado. Para frenar los ataques de suplantación contra tu marca, necesitas graduarte a quarantine y, con el tiempo, a reject.
Los correos suplantados también son el punto de entrada de la mayoría de las campañas de phishing. Si tienes un mensaje sospechoso enfrente y quieres ver exactamente qué comprobaciones de autenticación fallaron, nuestro Analizador de correos te deja subir el archivo .eml crudo e inspeccionar los resultados de SPF, DKIM y DMARC desde sus encabezados.
Más allá de los tres pilares: otras señales que revisan los receptores
La entregabilidad moderna del correo depende de más que SPF, DKIM y DMARC. Los receptores también pesan otras señales al decidir si entregan, mandan a spam o rechazan tu mensaje:
- Registros MX: a dónde deben entregar los receptores el correo destinado a tu dominio. Registros MX ausentes o mal configurados son una alerta roja inmediata.
- TLS y STARTTLS: si tu servidor de correo entrante acepta conexiones cifradas. Un servidor de correo sin TLS se ve sospechoso en 2026.
- MTA-STS: una política moderna que obliga al correo entrante a usar TLS en lugar de caer a texto plano. Crítica para prevenir ataques de degradación.
- Listas negras RBL: listas públicas de reputación como Spamhaus, Barracuda y SpamCop. Si tu IP de envío aparece en cualquiera de ellas, la entregabilidad se desploma.
- BIMI: Brand Indicators for Message Identification. Permite que tu logo se muestre en las bandejas compatibles, pero requiere DMARC en
p=quarantineo superior y un certificado de marca verificada (VMC). - DNSSEC y CAA: integridad en la capa DNS y control de autoridades de certificación. Sin DNSSEC, los atacantes pueden envenenar resolutores y desviar tu correo.
Si alguna de esas señales está débil, tu autenticación puede aprobar y aun así tus mensajes pueden caer en spam. Los receptores modernos tratan el panorama completo como una sola señal de confianza, no como una lista de requisitos.
Errores comunes de autenticación de correo que vemos cada semana
Trabajando con pequeñas empresas en Tampa y más allá, vemos las mismas configuraciones erróneas una y otra vez:
- Varios registros SPF en el mismo dominio. El RFC solo permite uno. La presencia de dos registros causa un fallo permanente de SPF, y la mayoría de los administradores nunca se da cuenta porque cada registro «se ve correcto» por sí solo.
- DKIM desactivado en el proveedor pero con el selector todavía publicado. Una clave DKIM obsoleta en el DNS que ya no coincide con la clave de firma real produce fallos en cada mensaje que envías.
- DMARC en
p=nonedurante años. La intención original era una ventana de monitoreo de dos semanas antes de graduarse a quarantine. Dos semanas se convierten en dos años, y el dominio queda efectivamente indefenso. - Reportes que nadie lee. La dirección
rua=mailto:de DMARC debe recibir reportes XML de cada receptor. Si nadie los lee, te pierdes la alerta temprana de que correo legítimo está fallando o de que hay atacantes probando suplantaciones contra tu dominio. - Alineación ausente. SPF y DKIM pueden aprobar para un dominio completamente distinto (un remitente de terceros) mientras el encabezado «From» visible muestra el tuyo. DMARC falla salvo que el dominio de autenticación se alinee con el dominio del From, un detalle sutil pero crítico.
Cómo auditar tu dominio en 30 segundos
Construimos una herramienta gratuita de autenticación de correo específicamente para negocios que quieren saber exactamente dónde están parados sin pagar un escáner empresarial. Así se usa la Salud del correo de nuestro sitio:
- Escribe tu dominio. Escribe el dominio a secas (por ejemplo,
tuempresa.com) y presiona Analizar. - Espera de diez a veinte segundos. Sondeamos tu DNS en busca de registros SPF, DKIM (a través de más de cien selectores usados por los principales proveedores de correo), DMARC, MX, CAA, MTA-STS, BIMI, DNSSEC y TLSA. También corremos una prueba de banner SMTP en vivo, revisamos la calidad del apretón de manos TLS y consultamos las IP de tu servidor de correo contra listas negras RBL públicas.
- Lee la cuadrícula con código de colores. Verde significa que aprueba, ámbar es advertencia y rojo es crítico. Cada tarjeta explica en lenguaje claro qué es la señal y qué anda mal, si es que algo anda mal.
- Pide el informe con IA (opcional). Escribe tu correo y nuestra IA redacta un plan de corrección en lenguaje claro, con los registros DNS exactos que deberías publicar, el orden en que desplegarlos y las trampas comunes a evitar. El informe completo llega a tu bandeja como un PDF con tu marca.
- Aplica las correcciones. La mayoría de los problemas se resuelve en quince minutos desde el panel de tu proveedor de DNS. Vuelve a correr la auditoría tras cada cambio para confirmar el arreglo.
Por qué la autenticación de correo importa más que nunca en 2026
La autenticación de correo era antes un «estaría bien tenerla» para organizaciones maduras en seguridad. Eso ya no es cierto. Google y Yahoo ahora exigen SPF, DKIM, DMARC y baja en un clic a cualquier remitente que envíe más de 5,000 mensajes al día a sus usuarios, y el umbral de cumplimiento obligatorio sigue bajando. Microsoft 365 endurece igualmente su filtrado cada trimestre para los remitentes sin autenticación adecuada. Si eres una empresa B2B que envía secuencias de ventas, notificaciones transaccionales o incluso correo interno de rutina entre varias oficinas, estás muy por encima del umbral.
Más allá de la entregabilidad, la protección de marca es una preocupación creciente. Las campañas de phishing modernas dependen cada vez más de dominios de remitente suplantados de forma convincente, y la defensa más fuerte es impedir que la suplantación se entregue siquiera. Eso es exactamente lo que hace la aplicación de DMARC en p=reject. Hasta que tu política DMARC llegue a la aplicación efectiva, los atacantes pueden usar tu dominio para hacer phishing a tus clientes, a tus proveedores y a tus propios empleados, y el servidor de correo receptor no tiene ninguna instrucción para detenerlos.
Despliegue de DMARC: de p=none a p=reject sin sustos
Lo más impactante que la mayoría de los dominios puede hacer este año es graduar su política DMARC. Saltar directo de no tener DMARC a p=reject casi con seguridad bloqueará correo legítimo en algún lugar que olvidaste: un CRM, una plataforma de facturación, un agendador de reuniones al que nadie recuerda haberse suscrito. Este es un despliegue que hemos corrido decenas de veces. Toma de cuatro a seis semanas y evita el mensaje de «acabamos de perder todo el correo» en el chat de la empresa.
- Semana 1. Publica
p=nonecon una dirección de reportes que de verdad monitorees. Usav=DMARC1; p=none; rua=mailto:[email protected]; fo=1; pct=100. Asegúrate de que ese buzón acepte adjuntos externos, porque los reportes agregados de DMARC llegan como archivos XML comprimidos en gzip adjuntos a correos diarios de cada receptor importante. - Semanas 2 y 3. Lee los reportes. El XML crudo de DMARC es ilegible; conecta la dirección a un analizador como dmarcian, EasyDMARC o Postmark y deja que arme un tablero. Cada remitente legítimo de terceros que falle la alineación aparecerá ahí. Sorpresas comunes: una cuenta de Mailchimp de un practicante de marketing, una plataforma de reclutamiento enviando en nombre de RR. HH., un viejo relé SMTP que nadie documentó. Corrige cada uno (típicamente agregando el remitente a tu SPF o activando la firma DKIM en la plataforma) antes de endurecer la política.
- Semana 4. Sube a
p=quarantine; pct=25. La etiquetapct=25les dice a los receptores que apliquen la política de cuarentena solo a uno de cada cuatro mensajes que fallen. Si algo se rompe, solo el 25% de los casos lo ve, y el resto sigue entregándose mientras investigas. - Semana 5. Pasa a
p=quarantine; pct=100. Todo el correo que falle en receptores conformes cae ahora en la carpeta de spam. Sigue vigilando los reportes al menos una semana completa para confirmar que ningún remitente legítimo se ve afectado. - Semana 6. Promueve a
p=reject. El correo suplantado ahora se rechaza de plano en el servidor receptor. Tu marca queda protegida, tu reputación de remitente mejora, y se desbloquea la elegibilidad para BIMI si además publicas un certificado de marca verificada.
La razón por la que esto toma semanas y no minutos es simple: no sabes lo que no sabes. Todo negocio envía correo a través de terceros inesperados (invitaciones de calendario, plataformas de firma electrónica, sistemas de tickets de soporte, seguimiento de candidatos, nómina de contratistas), y sacar todos a la luz requiere leer al menos un ciclo completo de reportes con tráfico del mundo real.
La forma más rápida de ver dónde está parado tu dominio ahora mismo, antes de empezar el despliegue, es correr una Salud del correo gratis. Toma unos treinta segundos, y el informe con IA opcional te dice exactamente qué registros publicar, y en qué orden, para llegar desde donde estás hoy a una postura limpia de p=reject sin romper nada. Si prefieres que un experto en seguridad configure SPF, DKIM y DMARC de punta a punta y monitoree el despliegue por ti, nuestro equipo ofrece seguridad del correo administrada para pequeñas empresas en Tampa.
Artículos relacionados
- Cómo analizar correos sospechosos: una guía práctica para pequeñas empresas
- Cómo revisar los registros DNS del dominio de tu negocio