Casi todos los ataques informáticos a empresas entran por la misma puerta: un correo electrónico. La cifra más citada habla del 91%, y la agencia de ciberseguridad de Estados Unidos (CISA) lo confirma con un “más del 90%”. No es sofisticación: es un email que parece de alguien de confianza.
Y aquí viene lo que casi nadie ha comprobado nunca: puede que, ahora mismo, cualquiera sea capaz de enviar correos haciéndose pasar por tu empresa. Facturas falsas a tus clientes, mensajes a tu propio equipo pidiendo una transferencia, todo firmado con tu dominio. La buena noticia es que comprobar si estás expuesto lleva dos minutos y lo puedes hacer tú, sin saber de tecnología. Empecemos por ahí.
Compruébalo ahora (en serio, hazlo)
Entra en la herramienta gratuita DMARC Check Tool de MXToolbox, escribe el dominio de tu empresa (lo que va detrás de la @ en tu correo, por ejemplo tuempresa.com) y pulsa. En segundos verás el resultado. Esto es lo que te importa:
- Si aparece “No DMARC Record” (no se encuentra registro), o un registro con “p=none”, estás expuesto: cualquiera puede enviar correos con tu dominio y nada lo detiene.
- Si aparece “p=quarantine” o “p=reject”, tienes protección real activada. Enhorabuena, aunque conviene revisar que esté bien montada.
Si prefieres un resultado explicado con palabras más sencillas, la herramienta DMARC Domain Checker de dmarcian hace lo mismo y te dice directamente si el dominio está protegido o no.
Por qué esto no es un susto exagerado
Los números de España son contundentes. Según el balance de ciberseguridad de 2025 de INCIBE, se gestionaron más de 122.000 incidentes, un 26 % más que el año anterior, y el 60 % afectaron a pymes. El coste medio de un incidente para una pequeña empresa se sitúa, según INCIBE y el sector asegurador, entre 35.000 y 80.000 euros una vez sumas la parada del negocio, la recuperación de los sistemas y las posibles sanciones. Para muchos negocios, eso equivale a varios meses de facturación.
Y hay una cifra que se repite en los informes de INCIBE y ENISA: seis de cada diez pymes que sufren un incidente grave acaban cerrando en los seis meses siguientes. La suplantación de tu dominio es una de las vías más fáciles y baratas para un atacante, y a la vez una de las más sencillas de cerrar. De ahí que valga tanto la pena dedicarle estos dos minutos.
Por qué pasa esto: el correo nació sin portero
El correo electrónico se diseñó hace décadas sin ninguna forma de verificar quién envía de verdad. Es como el sobre de una carta: puedes escribir el remitente que quieras, porque nadie comprueba en la oficina de correos que seas quien dices ser. En el email pasa igual: por defecto, cualquiera puede poner tu dominio en el campo “De” y el mensaje sale como si fuera tuyo.
Para tapar ese agujero se crearon tres mecanismos que trabajan juntos. Se llaman SPF, DKIM y DMARC, y aunque suenen a jerga, la idea de cada uno es muy sencilla.
Los tres candados, sin jerga
SPF es la lista de invitados. Es un registro que publicas en tu dominio diciendo qué servidores tienen permiso para enviar correo en tu nombre (el tuyo, el de tu herramienta de facturación, el de tu plataforma de newsletter…). Cuando llega un correo, el servidor que lo recibe consulta esa lista: si el remitente no está en ella, sospecha. Es el portero mirando quién puede pasar.
DKIM es el sello de lacre. Añade a cada correo que envías una firma digital, imposible de falsificar, que demuestra dos cosas: que el mensaje salió de verdad de tu dominio y que nadie lo ha manipulado por el camino. Si alguien altera el contenido, el sello se rompe y se nota.
DMARC es el jefe de seguridad. Une los dos anteriores y decide qué hacer con los correos que no pasan el control: dejarlos pasar, mandarlos a spam o rechazarlos directamente. Además, y esto es oro, te envía informes de quién está intentando enviar correos en tu nombre, así que te enteras de si te están suplantando.
Qué significa ese “none” que quizá te ha salido
DMARC puede estar configurado de tres formas, y aquí está la trampa en la que caen muchísimas empresas:
- p=none: solo observa y toma nota, pero no bloquea nada. El correo falso se entrega igual. Tener esto puesto da una falsa sensación de seguridad: es como tener cámaras de vigilancia grabando el robo sin que salte ninguna alarma.
- p=quarantine: los correos que no pasan el control van a la carpeta de spam.
- p=reject: los correos falsos se rechazan directamente y no llegan. Esta es la protección de verdad.
Por eso “none” o “sin registro” significan lo mismo en la práctica: la puerta está abierta.
Y ahora, además, tus propios correos dependen de esto
Durante años, configurar SPF, DKIM y DMARC era “recomendable”. Desde 2024 ha dejado de serlo. Google y Yahoo exigen estos tres mecanismos desde febrero de 2024 para aceptar correo de empresas que envían en volumen, y Microsoft se sumó a lo largo de 2025.
¿Qué significa esto para ti? Que ya no va solo de evitar que te suplanten. Va de que tus propios correos legítimos (una factura, un presupuesto, tu newsletter) lleguen a la bandeja de entrada en lugar de caer en spam o ser rechazados. Un dominio sin estos ajustes hoy pierde por partida doble: es vulnerable a la suplantación y, encima, entrega peor su correo de verdad.
Lo que esto NO soluciona (para no venderte humo)
Conviene ser honestos, porque hay quien promete protección total y no es cierto. SPF, DKIM y DMARC blindan tu dominio exacto. Con ellos bien puestos, nadie podrá enviar un correo que ponga @tuempresa.com y colarlo.
Lo que no evitan es que un atacante registre un dominio parecido (@tuernpresa.com cambiando una letra, o @tuempresa-facturas.com) o que ponga tu nombre en la parte visible usando una cuenta cualquiera. Contra eso, la mejor defensa sigue siendo un equipo atento que desconfíe de lo raro. Estos tres candados son imprescindibles, pero no son magia: son la base sobre la que se construye lo demás.
Un apunte para Andorra
Todo esto aplica exactamente igual a un dominio .ad. De hecho, muchos negocios andorranos siguen con configuraciones de correo básicas, heredadas de cuando se montó la web y nunca revisadas, sin ninguno de estos tres mecanismos activados. Y como buena parte de la clientela de una empresa andorrana está al otro lado de la frontera (cuentas de Gmail, Outlook, Yahoo francesas y españolas), las nuevas exigencias de entregabilidad de Google, Yahoo y Microsoft también le afectan de lleno. Comprobarlo es igual de rápido: escribe tu dominio .ad en la herramienta de arriba y sal de dudas.
Qué hacer si te ha salido que estás expuesto
El orden sensato es este: primero SPF (la lista de quién puede enviar por ti), luego DKIM (el sello en cada correo) y, por último, DMARC empezando por el modo que solo observa y envía informes, para ver durante unas semanas quién manda correo en tu nombre sin bloquear nada por error. Con esa información, se avanza con seguridad hasta el modo que ya rechaza los correos falsos.
Un SPF mal escrito o un salto a “reject” hecho a lo loco puede tumbar tu correo legítimo de un día para otro.
Aquí toca una advertencia importante, y va sin dramatismo: todo esto se toca en la configuración DNS de tu dominio, que es una zona delicada. Un cambio hecho a lo loco puede dejar a tu empresa sin poder enviar ni recibir. Si te manejas con la técnica, adelante. Si no, este es justo el tipo de tarea en la que merece la pena que la haga alguien que lo hace a menudo: es barato, es rápido y evita un susto caro.
Preguntas frecuentes
¿Cómo sé si pueden suplantar mi dominio de correo?
¿Qué son SPF, DKIM y DMARC en pocas palabras?
¿Por qué 'p=none' no me protege?
¿Esto también aplica a un dominio .ad de Andorra?
Te lo comprobamos y lo dejamos blindado
En EAV Digital gestionamos correo profesional y dominios, y esto es exactamente parte de lo que hacemos: revisar cómo está tu dominio, configurar SPF, DKIM y DMARC como toca y dejarte protegido tanto frente a la suplantación como frente a que tus correos acaben en spam.
Si has hecho la prueba y te ha salido “none”, o si sencillamente no estás seguro de cómo está tu dominio, cuéntanoslo y te hacemos la comprobación completa sin compromiso. Dos minutos ahora pueden ahorrarte un problema muy serio después.
