3 min de lectura
Cómo saber si pueden suplantar el correo de tu empresa
Cualquiera puede enviar un correo que parezca venir de tu empresa. Te explicamos cómo comprobarlo en 10 segundos y cómo cerrarle la puerta a los estafadores.
Imagina que un cliente recibe un correo que dice venir de [email protected] pidiéndole que pague una factura a una cuenta nueva. El correo se ve real, pero tú nunca lo enviaste. Eso se llama suplantación de correo, y es una de las estafas más comunes contra empresas pequeñas.
Lo malo es que enviar un correo "en nombre de" otra persona es técnicamente muy fácil. Lo bueno es que existe una forma de bloquearlo, y no cuesta nada.
Por qué puede pasarle a tu empresa
El correo electrónico se creó cuando nadie pensaba en estafas. Por defecto, cualquier servidor puede escribir el nombre de tu dominio en el campo "De". Para evitarlo, tu dominio necesita tres protecciones, que son registros que se configuran una sola vez:
- SPF: es la lista de los servidores que sí pueden enviar correos con tu nombre. Si un correo sale de otro servidor, se marca como sospechoso.
- DKIM: es una firma digital que va dentro de cada correo. Permite comprobar que el mensaje no fue alterado y que de verdad salió de tu empresa.
- DMARC: es la regla que dice qué hacer con los correos que fallan SPF o DKIM: dejarlos pasar, mandarlos a spam o rechazarlos. Además te avisa cuando alguien intenta suplantarte.
Si falta alguna, un estafador puede hacerse pasar por ti ante tus clientes, proveedores o trabajadores.
Cómo comprobarlo en 10 segundos
No necesitas saber de informática. Escribe el dominio de tu empresa (lo que va después del @ en tu correo, por ejemplo tuempresa.cl) en nuestra revisión gratuita. Te mostrará si tienes SPF, DKIM y DMARC y si están bien configurados.
La revisión solo lee información pública de tu dominio. No envía correos, no hace pruebas invasivas y no guarda lo que consultas.
Cómo arreglarlo
Estos registros se agregan en el panel donde administras tu dominio (el lugar donde lo compraste o tu hosting), en la sección de DNS. Los pasos generales son:
- Averigua qué servicios envían correo por ti. Por ejemplo Google Workspace, Microsoft 365, tu hosting o una plataforma de correos masivos. Todos deben quedar incluidos en el SPF.
- Crea el registro SPF. Es un registro de tipo TXT. Un ejemplo para una empresa que usa Google Workspace es
v=spf1 include:_spf.google.com ~all. El tuyo depende de tus proveedores, y tu dominio debe tener un solo SPF. - Activa DKIM desde el panel de tu proveedor de correo. Él te entrega el registro que debes copiar en tu DNS.
- Crea el registro DMARC, también de tipo TXT, en
_dmarc.tuempresa.cl. Empieza con una política que solo observa, para no bloquear correos legítimos por error.
v=DMARC1; p=none; rua=mailto:[email protected]- Revisa los informes y endurece la regla. Después de algunas semanas, cuando confirmes que todos tus correos legítimos pasan, cambia
p=noneporp=quarantiney más adelante porp=reject. Conreject, los correos falsos ni siquiera llegan.
Errores frecuentes
- Tener dos registros SPF en el mismo dominio: se invalidan entre sí.
- Olvidar un servicio que envía correos por ti, y que sus mensajes legítimos caigan en spam.
- Dejar DMARC en
p=nonepara siempre: solo observa, no protege. - Pensar que "mi correo nunca fue hackeado, así que estoy seguro". La suplantación no necesita entrar a tu cuenta.
¿Y si no quiero hacerlo yo?
Si no tienes tiempo o prefieres que alguien lo revise, en Axón Digital configuramos y verificamos estas protecciones, y te explicamos cada paso en lenguaje simple. Puedes partir con la revisión gratuita y, si algo sale mal, agendar una reunión gratis de 30 minutos.