Que un correo muestre el nombre de tu empresa no demuestra que proceda de ella. Revisar SPF, DKIM y DMARC ayuda a proteger la identidad del dominio, pero también necesitas identificar quién envía legítimamente en tu nombre. Un cambio apresurado puede bloquear comunicaciones reales sin eliminar todas las formas de engaño.

Este artículo propone una revisión de identidad y dependencias del correo comercial. No sustituye la atención de un incidente ni una configuración específica: el punto de partida es conocer emisores, responsables y evidencia antes de modificar políticas.

El nombre visible no es una prueba

Un mensaje puede mostrar una marca conocida y utilizar otro dominio. También puede intentar suplantar el dominio real o proceder de una cuenta comprometida. Son situaciones diferentes. Ningún registro DNS convierte automáticamente todo mensaje que parece tuyo en confiable.

La explicación de Cloudflare sobre SPF, DKIM y DMARC describe mecanismos de autenticación del correo. SPF autoriza fuentes de envío, DKIM incorpora firmas y DMARC relaciona autenticación con el dominio visible y una política. Esos mecanismos no certifican la honestidad del contenido ni garantizan llegada a la bandeja.

El criterio empresarial es doble: dificultar la suplantación de tu dominio y conservar el envío legítimo. Para hacerlo, primero debes saber qué sistemas participan.

Tu correo puede tener más emisores de los que recuerdas

Además del buzón habitual, una empresa puede enviar desde un CRM, una tienda, una herramienta de campañas, un sistema de soporte o un formulario del sitio. Algunos servicios utilizan su propio dominio; otros necesitan configuración para el tuyo.

No supongas que el proveedor de hosting ha configurado automáticamente todos esos casos. La responsabilidad puede estar repartida entre equipos y contratos. Reúne información sin publicar claves privadas ni credenciales.

Comprueba identidad, no solo apariencia

El remitente visible, el dominio utilizado en autenticación y la respuesta esperada pueden diferir. El responsable técnico debe revisar alineación y resultados en cabeceras de mensajes de prueba controlados, con destinatarios propios autorizados.

No basta encontrar una palabra «pass» en cualquier parte del mensaje. Importa qué comprobación pasó, qué dominio evaluó el receptor y si corresponde a la identidad que se muestra. La interpretación requiere contexto del envío real.

Recurso práctico: inventario de emisores legítimos

Prepara una ficha con sistema, finalidad, dominio utilizado, responsable, configuración disponible y prueba realizada. Añade si sigue en uso. Una herramienta antigua que conserva permiso puede pasar desapercibida mientras todo parece funcionar.

  • Buzón comercial: mensajes escritos por el equipo.
  • Web: avisos y respuestas que realmente envía el sitio, si los hay.
  • CRM: seguimiento y comunicaciones del proceso comercial.
  • Tienda o soporte: mensajes asociados a operaciones confirmadas.
  • Campañas: plataforma, autorización y separación de finalidades.

Esta lista sirve para investigar, no para asumir que tu empresa utiliza todos esos sistemas. Registra también emisores desconocidos observados en informes y deriva su análisis al responsable técnico.

Conserva evidencia de cada prueba: origen, destino autorizado, fecha y resultado de autenticación. Distingue aceptación del servidor, recepción en el buzón y lectura. Son niveles diferentes y ninguno demuestra una respuesta comercial.

Cambia políticas con una secuencia verificable

Una política restrictiva puede afectar a emisores legítimos mal configurados. Por eso conviene revisar inventario e informes antes de endurecerla, con un plan aprobado por quien gestiona el dominio y el correo.

No copies un registro DNS encontrado en una guía y lo publiques sin analizar proveedores y límites. La configuración depende de tus sistemas. Tampoco compartas cabeceras completas sin revisar si incluyen direcciones, identificadores o información que no debería difundirse.

Si hay sospecha de fraude activo, utiliza el procedimiento de incidentes de tu empresa y un especialista. Un proyecto de revisión ordinaria no debe tratarse como respuesta suficiente a una cuenta comprometida o a pagos desviados.

Caso hipotético: el CRM desaparece al proteger el dominio

Una pyme utiliza su buzón habitual y un CRM para responder solicitudes. Decide rechazar correo no autenticado, pero solo ha comprobado el buzón. El CRM utiliza el mismo remitente visible con una configuración pendiente.

Después del cambio, algunos seguimientos dejan de llegar. El problema no demuestra que proteger el dominio sea inútil; revela que la revisión omitió un emisor legítimo. El equipo necesita corregir su autenticación y verificar el recorrido antes de dar la política por completada.

La preparación adecuada habría identificado el CRM, documentado quién lo administra y realizado una prueba controlada. Esa coordinación es tan importante como el registro técnico, porque la comunicación comercial depende de ambas cosas.

Qué debe hacer el comprador ante un mensaje extraño

Tu proceso puede explicar cómo confirmar solicitudes sensibles mediante un canal conocido. No pidas al destinatario que confíe únicamente en el logo o en una firma corporativa. Los cambios de datos relevantes necesitan un procedimiento verificable definido por la empresa.

Este punto no requiere publicar detalles internos de seguridad. Requiere mantener canales coherentes y un equipo que sepa atender consultas de autenticidad. La claridad del sitio también ayuda a encontrar un contacto que no depende del propio mensaje sospechoso.

Una identidad comercial con más herramientas conectadas

La hipótesis de futuro es que crecerá el valor de mantener un inventario de emisores cuando más automatizaciones escriban en nombre de una empresa. Producir un mensaje convincente será sencillo; demostrar un origen y una responsabilidad coherentes seguirá siendo esencial.

La contrastarías revisando altas, bajas y cambios de herramientas frente a los resultados observados. Si el inventario permanece completo y las pruebas son consistentes, el proceso puede ser ligero. Si aparecen emisores desconocidos, la prioridad será investigar y ordenar permisos.

Protege el remitente sin perder la conversación

Empieza por saber quién envía. Después valida autenticación y cambios con responsables identificados. La meta es sostener una identidad verificable y una comunicación operativa; no declarar el correo seguro porque existe un registro en DNS.

Para completar esta decisión, consulta Cómo revisar correos transaccionales de la tienda.