Este documento contiene información para proteger tu dominio contra la suplantación de identidad, configurando SPF, DKIM y DMARC para que nadie pueda enviar correos falsos en nombre de tus casillas.
La suplantación de identidad (spoofing) ocurre cuando alguien envía correos que parecen salir de tu dominio, por ejemplo de ventas@tudominio.com, sin usar tu servidor. Con SPF, DKIM y DMARC bien configurados, los servidores que reciben esos correos falsos los pueden rechazar o mandar a spam.
¿Cómo me doy cuenta de que suplantan mi dominio?
- Recibís rebotes o respuestas de correos que nunca enviaste.
- Clientes o proveedores te avisan que recibieron mensajes extraños con tu dirección.
- Tus correos legítimos empiezan a llegar a spam, porque el dominio perdió reputación.
Si tus correos salen con tu dominio pero no figuran en la carpeta Enviados, probablemente no salieron de tu cuenta. Igual, cambiá la contraseña de esa casilla por las dudas.
Antes de empezar: confirmá que DKIM y SPF figuren como Válidos en cPanel, en Correo electrónico → Capacidad de entrega de correo electrónico. El paso a paso está en el artículo DomainKeys para el envío de correo electrónico.
Paso 1: endurecer SPF
El registro SPF que crea cPanel termina en ~all, que le pide al destinatario desconfiar de los servidores no autorizados, pero sin rechazarlos. Para que los rechace, cambialo a -all:
- Abrí Dominios → Editor de zona y hacé clic en Administrar junto al dominio.
- Buscá el registro TXT que empieza con
v=spf1y editalo. - Si enviás correo desde otros servicios (un sistema de mailing, Google Workspace, tu tienda online), agregalos con
include:, según indique cada proveedor. - Cambiá el final
~allpor-ally guardá.
Importante: con -all, cualquier servidor que no figure en el SPF queda rechazado. Antes de cambiarlo, asegurate de haber incluido todos los servicios que envían correo con tu dominio. Si no, esos correos dejan de llegar.
Paso 2: activar la protección con DMARC
DMARC es lo que realmente le indica al destinatario qué hacer con un correo falso. Subí la política de a poco:
- Monitoreo: empezá con
p=none. Los correos no se bloquean y recibís reportes en la casilla derua=. - Cuarentena: después de unas semanas sin problemas con tu correo legítimo, cambiá a
p=quarantine. Los correos falsos van a spam. - Rechazo: cuando estés seguro, pasá a
p=reject. Los correos falsos se rechazan y no llegan.
Ejemplo de registro TXT _dmarc.tudominio.com con rechazo:
v=DMARC1; p=reject; rua=mailto:postmaster@tudominio.comPaso 3: comprobar un correo
- Enviá un correo desde tu casilla a una cuenta de Gmail.
- En Gmail, abrí el mensaje, hacé clic en los tres puntos y elegí Mostrar original.
- Revisá que SPF, DKIM y DMARC digan PASS.
Problemas frecuentes
- Sigo recibiendo rebotes de correos que no envié: pueden seguir llegando unos días, mientras los servidores aplican tu nueva política. Si persisten con
p=reject, abrí un ticket. - Después de pasar a
-allop=reject, algunos correos legítimos no llegan: salen de un servicio que no está en el SPF. Agregalo coninclude:o volvé temporalmente a~allyp=none. - Uso DNS de otra empresa: los registros funcionan igual, pero tenés que crearlos y editarlos en el panel de esa empresa, no en cPanel.
- Los reportes de DMARC llegan en archivos comprimidos difíciles de leer: es lo normal. Podés usar un servicio gratuito de análisis de reportes DMARC para verlos en forma de resumen.
Si creés que están suplantando tu dominio y necesitás ayuda para configurar la protección, abrí un ticket desde el portal de clientes o consultá por el chat online del sitio.