Xerador de SPF e DMARC

Como configurar SPF, DKIM e DMARC paso a paso

Configurar a autenticación do correo electrónico é unha das medidas de seguridade con maior rendibilidade técnica: non require custos de licenzas, implántase nunhas poucas horas e reduce de forma notable o risco de ataques de suplantación de identidade (spoofing), de fraudes de factura falsa e de ataques dirixidos tipo «fraude do CEO».

O protocolo orixinal do correo electrónico (SMTP) non verifica por si mesmo a identidade de quen envía unha mensaxe. Para resolver esta debilidade existen tres mecanismos complementarios: SPF (valida que servidores ou IP poden enviar no seu nome), DKIM (garante mediante sinatura criptográfica que a mensaxe non foi manipulada polo camiño) e DMARC (establece a política que deben aplicar os destinatarios ante correos non autorizados e infórmao dos incidentes).

A continuación detallamos o proceso para implantalos de forma ordenada, paso a paso e sen risco de interromper as súas comunicacións habituais.

Paso 1: Facer inventario de quen envía correo no seu nome

O erro máis común ao despregar estes rexistros é esquecer servizos lexítimos e acabar bloqueando os seus propios correos. Antes de facer cambios técnicos no DNS, elabore unha lista exhaustiva de todos os sistemas que envían mensaxes co seu dominio corporativo:

• O seu provedor de correo principal (Microsoft 365, Google Workspace, servidor propio, etc.).
• Plataformas de márketing e boletíns (Mailchimp, Brevo, Mailjet).
• Aplicacións transaccionais: CRM, ERP, pasarelas de facturación ou o propio servidor web onde está a súa páxina (formularios de contacto).

Paso 2: Crear e publicar o rexistro SPF

O rexistro SPF publícase no panel DNS do seu provedor de dominio como un rexistro de tipo TXT no host raíz (indicado habitualmente cunha @ ou deixando o campo en branco).

1. Reúna as directivas dos seus remitentes lexítimos (por exemplo, include:_spf.google.com para Google Workspace ou include:spf.protection.outlook.com para Microsoft 365).
2. Constrúa un único rexistro TXT que inclúa todas as orixes identificadas. Por exemplo: v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
3. Regra de ouro: nunca publique máis dun rexistro SPF no mesmo dominio; se o fai, os servidores receptores invalidarán os dous por defecto.
4. Remate sempre con ~all (SoftFail) durante a fase inicial. Isto indica aos servidores de destino que marquen como sospeitosos os envíos non recoñecidos, sen chegar a rexeitalos.

Paso 3: Configurar e activar DKIM

Mentres que o rexistro SPF se redacta a man, as claves DKIM xéranse directamente na consola de cada servizo emisor:

1. Acceda ao panel de administración do seu provedor de correo (por exemplo, o Centro de administración de Microsoft 365 ou a Consola de administración de Google Workspace).
2. Localice a sección de autenticación do correo e solicite a xeración dunha clave DKIM. O sistema daralle un selector (un prefixo identificativo) e un valor público en forma de rexistro TXT ou CNAME.
3. Vaia á súa zona DNS e cree o rexistro correspondente. O nome do host seguirá a estrutura [selector]._domainkey.oseudominio.gal.
4. Unha vez propagado o cambio no DNS (adoita tardar entre uns minutos e un par de horas), volva á consola do provedor e active formalmente a sinatura DKIM. A partir dese momento, cada correo saínte incorporará unha cabeceira cunha sinatura dixital verificable.
5. Repita este procedemento nas plataformas externas de márketing ou facturación que permitan sinatura propia.

Paso 4: Publicar a política inicial de DMARC

DMARC vincula os resultados de SPF e DKIM e devólvelle visibilidade sobre o que está a pasar co seu dominio en todo o mundo.

1. Engada un rexistro TXT no seu DNS co host _dmarc (é dicir, o rexistro responderá a _dmarc.oseudominio.gal).
2. Introduza unha política inicial estritamente de monitorización (p=none): v=DMARC1; p=none; rua=mailto:informes-dmarc@oseudominio.gal; pct=100;
3. A directiva p=none garante que ningunha mensaxe lexítima será rexeitada nin enviada ao cartafol de correo non desexado mentres axusta a configuración. A cambio, a etiqueta rua enviará resumos agregados en formato XML ao enderezo indicado, co detalle de quen envía correos no seu nome e se superan ou non a autenticación.

Paso 5: Analizar os informes e endurecer as políticas

A implantación non remata coa publicación inicial:

1. Supervise durante dúas a catro semanas os informes recibidos. Como os arquivos XML son complexos de interpretar a simple vista, pode axudarse de analizadores ou visores DMARC en liña.
2. Se detecta envíos corporativos lexítimos que fallan (por exemplo, un software de facturación esquecido), axuste os rexistros SPF ou DKIM para aliñalos adecuadamente.
3. Unha vez verificado que o 100 % do tráfico lexítimo supera a validación, endureza a política DMARC de forma progresiva: primeiro a p=quarantine (enviar o correo non autorizado ao cartafol de correo non desexado) e, finalmente, a p=reject (rexeitamento total no destino).
4. Neste último paso, modifique tamén o peche do rexistro SPF substituíndo ~all por -all (Fail estrito).

Con estes pasos completados, a súa organización protexerá moito mellor a súa reputación dixital, evitará que terceiros suplanten a súa identidade corporativa ante clientes ou provedores e asegurará que as súas comunicacións lexítimas cheguen sen trabas á caixa de entrada.