Gairebé tots els atacs informàtics a empreses entren per la mateixa porta: un correu electrònic. La xifra més citada parla del 91%, i l’agència de ciberseguretat dels Estats Units (CISA) ho confirma amb un “més del 90%”. No és sofisticació: és un email que sembla d’algú de confiança.
I aquí ve el que gairebé ningú ha comprovat mai: pot ser que, ara mateix, qualsevol sigui capaç d’enviar correus fent-se passar per la teva empresa. Factures falses als teus clients, missatges al teu propi equip demanant una transferència, tot signat amb el teu domini. La bona notícia és que comprovar si estàs exposat porta dos minuts i ho pots fer tu, sense saber de tecnologia. Comencem per aquí.
Comprova-ho ara (de debò, fes-ho)
Entra a l’eina gratuïta DMARC Check Tool de MXToolbox, escriu el domini de la teva empresa (el que va darrere de la @ al teu correu, per exemple latevaempresa.com) i prem. En segons veuràs el resultat. Això és el que t’importa:
- Si apareix “No DMARC Record” (no es troba registre), o un registre amb “p=none”, estàs exposat: qualsevol pot enviar correus amb el teu domini i res no ho atura.
- Si apareix “p=quarantine” o “p=reject”, tens protecció real activada. Enhorabona, tot i que convé revisar que estigui ben muntada.
Si prefereixes un resultat explicat amb paraules més senzilles, l’eina DMARC Domain Checker de dmarcian fa el mateix i et diu directament si el domini està protegit o no.
Per què això no és un ensurt exagerat
Els números d’Espanya són contundents. Segons el balanç de ciberseguretat de 2025 de l’INCIBE, es van gestionar més de 122.000 incidents, un 26 % més que l’any anterior, i el 60 % van afectar pimes. El cost mitjà d’un incident per a una petita empresa se situa, segons l’INCIBE i el sector assegurador, entre 35.000 i 80.000 euros un cop sumes l’aturada del negoci, la recuperació dels sistemes i les possibles sancions. Per a molts negocis, això equival a diversos mesos de facturació.
I hi ha una xifra que es repeteix als informes de l’INCIBE i l’ENISA: sis de cada deu pimes que pateixen un incident greu acaben tancant en els sis mesos següents. La suplantació del teu domini és una de les vies més fàcils i barates per a un atacant, i alhora una de les més senzilles de tancar. Per això val tant la pena dedicar-hi aquests dos minuts.
Per què passa això: el correu va néixer sense porter
El correu electrònic es va dissenyar fa dècades sense cap manera de verificar qui envia de veritat. És com el sobre d’una carta: pots escriure el remitent que vulguis, perquè ningú comprova a l’oficina de correus que siguis qui dius ser. Amb l’email passa igual: per defecte, qualsevol pot posar el teu domini al camp “De” i el missatge surt com si fos teu.
Per tapar aquest forat es van crear tres mecanismes que treballen junts. Es diuen SPF, DKIM i DMARC, i encara que sonin a argot, la idea de cadascun és molt senzilla.
Els tres panys, sense argot
SPF és la llista de convidats. És un registre que publiques al teu domini dient quins servidors tenen permís per enviar correu en nom teu (el teu, el de la teva eina de facturació, el de la teva plataforma de newsletter…). Quan arriba un correu, el servidor que el rep consulta aquesta llista: si el remitent no hi és, sospita. És el porter mirant qui pot passar.
DKIM és el segell de lacre. Afegeix a cada correu que envies una signatura digital, impossible de falsificar, que demostra dues coses: que el missatge va sortir de veritat del teu domini i que ningú l’ha manipulat pel camí. Si algú altera el contingut, el segell es trenca i es nota.
DMARC és el cap de seguretat. Uneix els dos anteriors i decideix què fer amb els correus que no passen el control: deixar-los passar, enviar-los a spam o rebutjar-los directament. A més, i això és or, t’envia informes de qui està intentant enviar correus en nom teu, així que t’assabentes de si t’estan suplantant.
Què significa aquest “none” que potser t’ha sortit
DMARC pot estar configurat de tres formes, i aquí hi ha la trampa on cauen moltíssimes empreses:
- p=none: només observa i pren nota, però no bloqueja res. El correu fals s’entrega igual. Tenir-ho posat dona una falsa sensació de seguretat: és com tenir càmeres de vigilància gravant el robatori sense que salti cap alarma.
- p=quarantine: els correus que no passen el control van a la carpeta de spam.
- p=reject: els correus falsos es rebutgen directament i no arriben. Aquesta és la protecció de veritat.
Per això “none” o “sense registre” volen dir el mateix a la pràctica: la porta és oberta.
I ara, a més, els teus propis correus depenen d’això
Durant anys, configurar SPF, DKIM i DMARC era “recomanable”. Des de 2024 ha deixat de ser-ho. Google i Yahoo exigeixen aquests tres mecanismes des del febrer de 2024 per acceptar correu d’empreses que envien en volum, i Microsoft s’hi va sumar al llarg de 2025.
Què significa això per a tu? Que ja no va només d’evitar que et suplantin. Va que els teus propis correus legítims (una factura, un pressupost, la teva newsletter) arribin a la safata d’entrada en lloc de caure a spam o ser rebutjats. Un domini sense aquests ajustos avui perd per partida doble: és vulnerable a la suplantació i, a sobre, entrega pitjor el seu correu de veritat.
El que això NO soluciona (per no vendre’t fum)
Convé ser honestos, perquè hi ha qui promet protecció total i no és cert. SPF, DKIM i DMARC blinden el teu domini exacte. Amb ells ben posats, ningú no podrà enviar un correu que posi @latevaempresa.com i colar-lo.
El que no eviten és que un atacant registri un domini semblant (@latevaenpresa.com canviant una lletra, o @latevaempresa-factures.com) o que posi el teu nom a la part visible fent servir un compte qualsevol. Contra això, la millor defensa continua sent un equip atent que desconfiï del que és estrany. Aquests tres panys són imprescindibles, però no són màgia: són la base sobre la qual es construeix la resta.
Un apunt per a Andorra
Tot això s’aplica exactament igual a un domini .ad. De fet, molts negocis andorrans continuen amb configuracions de correu bàsiques, heretades de quan es va muntar la web i mai revisades, sense cap d’aquests tres mecanismes activats. I com que bona part de la clientela d’una empresa andorrana és a l’altra banda de la frontera (comptes de Gmail, Outlook, Yahoo franceses i espanyols), les noves exigències d’entregabilitat de Google, Yahoo i Microsoft també l’afecten de ple. Comprovar-ho és igual de ràpid: escriu el teu domini .ad a l’eina de dalt i surt de dubtes.
Què fer si t’ha sortit que estàs exposat
L’ordre assenyat és aquest: primer SPF (la llista de qui pot enviar per tu), després DKIM (el segell a cada correu) i, per últim, DMARC començant pel mode que només observa i envia informes, per veure durant unes setmanes qui envia correu en nom teu sense bloquejar res per error. Amb aquesta informació, s’avança amb seguretat fins al mode que ja rebutja els correus falsos.
Un SPF mal escrit o un salt a “reject” fet a la babalà pot tombar el teu correu legítim d’un dia per l’altre.
Aquí toca un advertiment important, i va sense dramatisme: tot això es toca a la configuració DNS del teu domini, que és una zona delicada. Un canvi fet a la babalà pot deixar la teva empresa sense poder enviar ni rebre. Si et manegues amb la tècnica, endavant. Si no, aquest és just el tipus de tasca en què val la pena que la faci algú que ho fa sovint: és barat, és ràpid i evita un ensurt car.
Preguntes freqüents
Com sé si poden suplantar el meu domini de correu?
Què són SPF, DKIM i DMARC en poques paraules?
Per què 'p=none' no em protegeix?
Això també s'aplica a un domini .ad d'Andorra?
T'ho comprovem i ho deixem blindat
A EAV Digital gestionem correu professional i dominis, i això és exactament part del que fem: revisar com està el teu domini, configurar SPF, DKIM i DMARC com cal i deixar-te protegit tant davant de la suplantació com que els teus correus acabin a spam.
Si has fet la prova i t’ha sortit “none”, o si senzillament no estàs segur de com està el teu domini, explica’ns-ho i et fem la comprovació completa sense compromís. Dos minuts ara et poden estalviar un problema molt seriós després.
