DKIM frente a DMARC: Por Qué las Empresas Necesitan Ambos, No Solo Uno

Qué Hace Cada Uno: DKIM y DMARC

DKIM añade una firma criptográfica a los mensajes salientes. La firma se genera con una clave privada en el servidor emisor y se verifica en el servidor receptor con una clave pública publicada en el DNS. Si el cuerpo del mensaje o los encabezados cambian en tránsito, la verificación falla. DKIM confirma dos cosas: que el mensaje proviene de un servidor autorizado y que llegó sin alteraciones.

DMARC se basa tanto en DKIM como en SPF, e indica a los servidores receptores qué hacer cuando fallan las verificaciones: rechazar el mensaje, ponerlo en cuarentena o permitirlo. Proporciona informes agregados, dando a las empresas datos estructurados sobre qué fuentes envían correo en su nombre y qué mensajes pasan o fallan la autenticación.

DMARC también verifica la alineación entre el dominio de firma y la dirección «De» visible, una verificación que DKIM por sí solo no puede realizar.

DKIM demuestra la integridad del mensaje. DMARC aplica la política y crea visibilidad.

El Problema de DKIM Sin DMARC

Supongamos que una empresa ha implementado DKIM en toda su infraestructura de envío principal. El correo saliente de la plataforma corporativa, el CRM y la herramienta de automatización de marketing llevan firmas válidas.

Ahora supongamos que un actor malicioso suplanta el dominio de la organización en una campaña de phishing. Sus mensajes no están firmados; no hay firma DKIM presente. Sin una política DMARC en el dominio, los servidores receptores no tienen ninguna instrucción sobre cómo manejar ese correo sin firmar. Muchos lo entregarán.

El propietario del dominio no recibe ningún informe, y la campaña pasa desapercibida hasta que alguien la reporta manualmente.

Esto no es un caso excepcional. Es el estado predeterminado de cualquier dominio con firma DKIM pero sin política DMARC. DKIM verifica la integridad del correo, pero no tiene forma de bloquear o marcar el correo suplantado que nunca se firmó.

Cómo se Conectan la Firma DKIM y la Aplicación de DMARC

La firma DKIM y la evaluación DMARC ocurren en puntos diferentes. La firma DKIM ocurre en el servidor de correo emisor. La evaluación DMARC ocurre en el servidor receptor, que comprueba si el dominio de firma (el valor d= en el encabezado de firma DKIM) se alinea con el dominio del encabezado «De».

Si DKIM pasa y la alineación se mantiene, DMARC pasa. Si DKIM falla o el dominio de firma no se alinea, DMARC recurre al resultado de SPF.

DMARC requiere que DKIM o SPF pasen y se alineen. Una firma DKIM válida de un remitente externo que no se alinea con el dominio no pasará DMARC.

Lo Que los CISO Necesitan para la Gestión de Riesgos y el Cumplimiento

DKIM sin DMARC es un control incompleto. Asegura la integridad del mensaje en tránsito, pero deja abierta la superficie de ataque de suplantación.

Varios marcos regulatorios y sectoriales ya hacen referencia directa a la autenticación de correo. Los requisitos de DMARC de Microsoft, vigentes desde mayo de 2025, exigen una política DMARC mínima de p=none para remitentes de alto volumen. Google tiene requisitos similares.

Para las empresas en sectores regulados (servicios financieros, salud, infraestructura crítica), la autenticación de correo es cada vez más una salvaguarda técnica esperada, no opcional.

Para la generación de informes de auditoría y riesgo, DMARC proporciona evidencia estructurada que DKIM por sí solo no puede. Los informes agregados muestran qué fuentes enviaron correo desde el dominio y cuáles pasaron o fallaron. Esos datos respaldan los informes a nivel directivo y proporcionan a los equipos de seguridad un registro de auditoría documentado.

DKIM aporta integridad del mensaje. DMARC aporta reducción del fraude, prevención de la suplantación y evidencia documentable. Las implementaciones empresariales necesitan ambos.

Implementar DKIM y DMARC en el Orden Correcto

DMARC no funciona sin DKIM (o SPF) implementado. Es la capa de política e informes construida sobre los dos protocolos de autenticación. Implementar DMARC sin DKIM configurado en todas las fuentes de envío significa que pocos o ningún mensaje pasará la autenticación DMARC, y avanzar hacia la aplicación bloqueará correo legítimo.

La secuencia correcta: configurar la firma DKIM en todas las fuentes de envío, validar la alineación, implementar DMARC en p=none con informes agregados habilitados, analizar los informes para encontrar brechas de cobertura, resolver los problemas y luego avanzar hacia la aplicación.

DKIM confirma la autenticidad e integridad a nivel de mensaje, y DMARC extiende eso a la aplicación de políticas y el control. Ningún protocolo reemplaza al otro, y no existen alternativas reales a ninguno de los dos.

Cómo Ayuda Sendmarc

La respuesta a la pregunta DKIM frente a DMARC es sencilla: son capas, no alternativas. Tratarlos de esa manera es donde surge la dificultad.

Pasar de la implementación de DKIM a la aplicación completa de DMARC en un entorno empresarial distribuido es operativamente complejo a gran escala. El reto no es entender cómo se relacionan los protocolos. Es gestionar el inventario de remitentes, rastrear la alineación en docenas de herramientas de terceros y avanzar en la política sin interrumpir el correo legítimo.

La Plataforma Sendmarc le ofrece visibilidad estructurada de cada fuente que envía correo desde sus dominios, mapea el estado de firma y alineación de DKIM para cada remitente, y respalda el avance controlado de la política con informes agregados integrados en el flujo de trabajo.

Eso cierra el problema de visibilidad que DKIM por sí solo deja abierto, sin añadir carga de trabajo a su equipo, y reduce el riesgo que supone que el correo no autenticado llegue a las bandejas de entrada.

Un dominio firmado sin una política DMARC aplicada sigue siendo un dominio expuesto. Explore la Gestión de DMARC para pasar de la firma DKIM a la aplicación completa de DMARC.