Email spoofing: evita que alguien escriba en tu nombre
¿Qué es el email spoofing?
El spoofing es la falsificación del remitente de un correo. Alguien envía un mensaje que parece venir de tu@tuempresa.es, aunque tú no tengas nada que ver. El campo del remitente de un correo normal es igual de fácil de rellenar que el remitente de un sobre: puedes poner lo que quieras.
El spoofing se usa a menudo para phishing y fraude: clientes o compañeros reciben de ti un mensaje «de aspecto auténtico», con un número de cuenta falso o un adjunto infectado. Tú a veces apenas te enteras, hasta que alguien te llama por un correo que nunca enviaste. Va de la mano del phishing, en el que el remitente falso hace creíble el cebo.
Por qué importa evitar el email spoofing
Si se abusa de tu dominio, el daño es doble. Pueden estafar a tus clientes en tu nombre, y tu reputación y tu entregabilidad se resienten: si circula mucho correo falso desde «tu» dominio, los servidores receptores también empiezan a desconfiar de tu correo auténtico.
Para un contable, un médico o una pyme que vive de la confianza, es un riesgo real. Una sola factura fraudulenta «tuya» puede costarle miles de euros a un cliente y dañar vuestra relación. Combatir el spoofing no solo te protege a ti, sino a todos los que reciben correo de tu dominio.
Hay otra diferencia que aclara las cosas. En el spoofing auténtico, el atacante usa tu dominio exacto en la dirección del remitente; eso es justo lo que SPF, DKIM y DMARC pueden cerrar a cal y canto. En la imitación, usa un nombre de dominio parecido (por ejemplo, con una letra de más o con otra extensión) que no es tuyo. Contra esa segunda forma no sirve tu propia autenticación, porque no se trata de tu dominio. Conviene conocer esa distinción, para saber qué parte tienes en tu mano y qué parte exige estar atento.
Cómo funciona
En la comunidad security.nl surgió la pregunta clave: ¿sirven de verdad DKIM y DMARC contra el spoofing? La respuesta corta: sí, siempre que los uses juntos. Aquí colaboran tres reglas, cada una con su propio papel.
- SPF fija en tu DNS qué servidores pueden enviar en nombre de tu dominio. El destinatario comprueba si un mensaje viene de uno de esos servidores autorizados.
- DKIM pone una firma digital en tu correo saliente. El destinatario comprueba esa firma y así sabe que el mensaje viene realmente de tu dominio y no se ha modificado por el camino.
- DMARC lo une todo. Le dice al destinatario qué hacer si SPF o DKIM no cuadran: no hacer nada, enviarlo al spam o rechazarlo sin más. DMARC también exige que la dirección de remitente visible coincida con lo que demuestran SPF y DKIM (eso se llama alineación, o alignment).
Precisamente ese último paso marca la diferencia contra el spoofing. SPF y DKIM, por sí solos, no dicen nada de la dirección «de» visible que ve el destinatario. Solo con DMARC exiges que un suplantador que se hace pasar por tu dominio quede al descubierto y sea rechazado. Si quieres entender exactamente qué hace DMARC, lee qué es DMARC. Cómo configurarlos juntos lo tienes paso a paso en configurar SPF, DKIM y DMARC juntos.
En qué debes fijarte
- DMARC empieza de forma suave. Normalmente empiezas con una política que solo informa (
p=none), para ver quién envía en tu nombre, antes de endurecerla a cuarentena o rechazo. - No olvides a los remitentes legítimos. Si un servicio de newsletters o un programa de contabilidad envía en tu nombre, deben estar incluidos en SPF y DKIM; si no, bloqueas tu propio correo sin querer.
- Erradicar del todo el spoofing no es posible. Haces mucho más difícil el abuso de tu propio dominio, pero los atacantes siempre pueden pasarse a dominios parecidos (lookalike). Así que sigue atento a las señales de phishing.
- El mantenimiento cuenta. Si cambia tu infraestructura de envío, tus registros deben cambiar con ella. Los registros desactualizados son en sí mismos una fuente de problemas.
- Afecta a tu entregabilidad. Una autenticación correcta no solo ayuda contra el spoofing, sino que también hace que tu propio correo llegue mejor, como se explica en por qué el correo acaba en el spam.
Un punto práctico más: usa los informes DMARC que recibes. En cuanto DMARC está activo, los servidores receptores envían resúmenes de todos los que envían en nombre de tu dominio. Así no solo ves los intentos de abuso, sino que también descubres servicios legítimos que aún debes añadir, antes de endurecer la política. Leer esos informes requiere acostumbrarse, pero te dan justo la información para cerrarle el paso al spoofing de forma precisa sin bloquear tu propio correo.
Y en Mailflux
En Mailflux gestionamos SPF, DKIM y DMARC para tu dominio, de modo que a los mensajes falsificados en tu nombre les cuesta mucho más pasar y tu propio correo lleva las señales correctas. No tienes que meterte tú en los registros DNS; los mantenemos actualizados cuando algo cambia.
Además, cada plan filtra con aprendizaje automático (machine learning) el spam, el phishing y el malware, con antivirus, antispam y antimalware de serie, copias de seguridad automáticas y verificación en dos pasos opcional. Tienes correo profesional con tu propio dominio, alojado en Europa y conforme al Reglamento General de Protección de Datos (RGPD).
FAQ
Preguntas frecuentes
¿Sirven de verdad DKIM y DMARC contra el spoofing?
Sí, pero juntos. DKIM firma tu correo para que la falsificación se note, y DMARC obliga a que la dirección de remitente visible coincida con lo que demuestran SPF y DKIM. Sin DMARC, la dirección «de» sigue siendo fácil de falsificar; con una política DMARC estricta, el spoofing de tu dominio se rechaza.
¿Puedo acabar del todo con el spoofing?
Con SPF, DKIM y una política DMARC estricta haces mucho más difícil el abuso de tu propio dominio. Excluirlo por completo no es posible: los atacantes recurren a nombres de dominio parecidos que no son tuyos. Por eso, la atención por tu parte y la de tus destinatarios sigue siendo un complemento imprescindible de la técnica.
Alguien envía correo en mi nombre, ¿qué hago?
Comprueba primero que SPF, DKIM y DMARC están bien configurados y, si hace falta, endurece DMARC. Avisa a los contactos afectados de que circula correo falso. Si ves que se trata de un dominio parecido en lugar de tu propia dirección, es una imitación y lo que más ayuda es la concienciación.