Tema 19
Gran parte del fraude por correo se apoya en hacer creer que un mensaje proviene de quien realmente no lo envió. Por eso la seguridad del email necesita mecanismos que ayuden a validar identidad técnica del remitente y a reducir la suplantación de dominios.
En el tema anterior estudiamos cómo el correo entrega enlaces, adjuntos y contenido riesgoso. Pero antes incluso de analizar qué trae un mensaje, existe una pregunta fundamental: quién lo envía realmente y qué tan confiable es esa identidad técnica.
Buena parte del fraude por email se apoya en la suplantación. El atacante no necesita comprometer de inmediato la cuenta real de una organización si logra hacer que un mensaje parezca provenir de ella. Aquí entran en juego mecanismos como SPF, DKIM y DMARC, diseñados para dar más coherencia y verificabilidad a la identidad del remitente.
Estos controles no eliminan por completo el phishing ni el fraude, pero sí reducen ciertos tipos de spoofing y aportan señales importantes para filtrado, reputación y decisión del receptor.
El correo electrónico fue construido sobre una base abierta e interoperable. Esa flexibilidad facilita la comunicación global, pero también hace que la identidad visible de un mensaje no siempre sea tan confiable como el usuario supone. El "remitente" que ve la persona no equivale automáticamente a una prueba fuerte de quién envió realmente el mensaje.
Esto abre la puerta a escenarios como:
SPF, o Sender Policy Framework, permite que el propietario de un dominio publique qué servidores están autorizados a enviar correo en su nombre. Cuando un servidor receptor recibe un mensaje, puede consultar esa política y verificar si la fuente que lo envió coincide con lo declarado por el dominio.
La idea central es simple: si un mensaje que dice venir de cierto dominio fue enviado desde una infraestructura no autorizada por ese dominio, eso debería reducir su confianza o llevar a medidas de rechazo según la política aplicada.
| Aspecto | Aporta | Límite habitual |
|---|---|---|
| Autorización de envío | Indica qué servidores pueden enviar por un dominio | No garantiza por sí solo legitimidad del contenido |
| Reducción de spoofing simple | Dificulta ciertos envíos no autorizados | Puede complicarse con reenvíos y arquitecturas complejas |
| Señal para el receptor | Aporta un dato técnico útil para filtrado | No basta sin otras señales complementarias |
En otras palabras, SPF ayuda a responder "este servidor estaba autorizado para enviar", pero no resuelve solo todo el problema de confianza en el mensaje.
DKIM, o DomainKeys Identified Mail, agrega una firma criptográfica al mensaje que permite verificar que ciertos elementos del correo no fueron alterados y que la firma fue realizada por un dominio que controla la clave correspondiente.
Su valor principal está en dos ideas:
Esto mejora la capacidad del receptor para confiar en que el mensaje mantiene integridad desde el punto de firma y que existe una relación técnica con el dominio que lo firma.
DKIM es muy útil, pero también tiene límites. No dice que el mensaje sea deseable ni legítimo en sus fines. Solo aporta autenticidad e integridad técnica sobre lo firmado. Si un dominio legítimo firma correo malicioso, la firma seguirá siendo válida.
Además:
DMARC, o Domain-based Message Authentication, Reporting and Conformance, une y ordena el uso de SPF y DKIM bajo una política publicada por el dominio. Su objetivo es permitir que el propietario del dominio indique qué espera que hagan los receptores cuando un mensaje no supera las validaciones correspondientes y, además, recibir reportes sobre ese comportamiento.
DMARC introduce una idea especialmente valiosa: alineación. No alcanza con que SPF o DKIM pasen de cualquier manera. Debe existir coherencia entre el dominio visible al usuario y los dominios implicados en las validaciones técnicas.
La alineación busca evitar escenarios en los que un mensaje presenta una identidad visible que no coincide razonablemente con la identidad validada por SPF o DKIM. Esto reduce la posibilidad de abusar de validaciones parciales o técnicas para hacer pasar mensajes cuya apariencia apunta a otro dominio.
Desde la mirada del receptor, la alineación aporta coherencia entre:
DMARC permite definir políticas graduales respecto de qué hacer con mensajes que no cumplen los criterios esperados. Esa gradualidad es útil porque muchas organizaciones necesitan primero observar qué sucede con su tráfico antes de aplicar medidas más estrictas.
En términos conceptuales, se puede pensar una progresión de madurez:
Esta evolución ayuda a reducir suplantación sin romper flujos legítimos por mala configuración inicial.
Uno de los grandes valores de DMARC es que no solo ayuda a decidir qué hacer con mensajes fallidos, sino que también brinda reportes que permiten al dominio emisor entender cómo se está usando o abusando su identidad. Esto es útil para descubrir:
Aunque son fundamentales, estos mecanismos no resuelven todo el ecosistema del fraude por correo. No impiden, por ejemplo:
Por eso es un error tratarlos como solución total. Son una capa clave dentro de una estrategia más amplia de seguridad en email.
Desde el punto de vista operativo, la validación del remitente combina varias dimensiones:
Esto explica por qué los sistemas modernos no toman decisiones basándose en una sola señal. Lo que importa es la combinación de autenticidad técnica y plausibilidad del comportamiento observado.
Aunque SPF, DKIM y DMARC operan a nivel más técnico e invisible, también tienen impacto sobre el usuario final. Cuando están bien implementados, reducen la cantidad de mensajes falsamente atribuidos a dominios legítimos que alcanzan la bandeja. Eso disminuye superficie de engaño antes de que el usuario tenga que evaluar el mensaje.
En otras palabras, estos mecanismos no reemplazan la prudencia del usuario, pero sí mejoran el terreno sobre el que esa prudencia debe operar.
El siguiente paso será estudiar clientes de correo, configuración segura, cifrado de mensajes y protección de bandejas. Con eso cerraremos el bloque técnico de email mirando cómo se usa y protege el correo desde la perspectiva directa del usuario final y su buzón.
La autenticación del correo es una capa esencial para reducir la suplantación de dominios y mejorar la confianza técnica en el ecosistema del email. SPF, DKIM y DMARC no resuelven por sí solos todos los ataques, pero sí elevan significativamente el nivel de defensa frente a una de las debilidades históricas del correo.
En el próximo tema nos enfocaremos en clientes de correo, configuración segura, cifrado de mensajes y protección de bandejas para cerrar el bloque de email con una mirada más cercana al usuario final.