SPF vs. DMARC: la diferencia que importa a escala empresarial

Es posible que su organización ya tenga un registro SPF. Ese registro autoriza qué servidores pueden enviar correo en su nombre, pero no le dice si un remitente no autorizado está suplantando su dominio, ni puede imponer qué ocurre cuando alguien lo intenta.

Las limitaciones de SPF no son un problema de configuración. Son un problema de política. Para las empresas que gestionan decenas de dominios, cientos de herramientas de envío y unidades de negocio distribuidas, la diferencia entre SPF y DMARC es la diferencia entre autenticación y aplicación de políticas.

Esto no es un tutorial de SPF. Lo que sigue es una comparación directa entre SPF y DMARC: qué comprueba SPF, qué añade DMARC y por qué las limitaciones de SPF dejan su dominio expuesto si no hay una capa de política encima.

DMARC se basa directamente en SPF y añade la capa de alineación, política y reportes que SPF nunca fue diseñado para ofrecer. Explore la Gestión de DMARC para ver cómo funcionan juntas la aplicación de políticas y los reportes.

Qué hace realmente SPF

SPF responde a una sola pregunta: ¿está autorizado este servidor de envío para enviar correo en nombre de este dominio?

Es una comprobación útil, pero conlleva dos limitaciones de SPF que importan a escala empresarial.

En primer lugar, SPF comprueba el remitente del sobre (envelope sender), no el encabezado “From” que ve el destinatario. Un correo de phishing puede superar SPF y aun así mostrar el nombre y el dominio de su CEO en el campo “From” visible.

En segundo lugar, SPF no genera reportes. Si un proveedor pierde la alineación, si una herramienta no aprobada empieza a enviar desde su dominio o si un atacante lo está suplantando activamente, SPF no le da ninguna señal para actuar.

Para una empresa pequeña con un único proveedor de correo y una lista de remitentes estable, SPF por sí solo puede ofrecer una higiene básica adecuada. Para una empresa con departamentos regionales, un conjunto de herramientas de marketing y RR. HH., y un comité de auditoría que pregunta cómo controla la organización su identidad de correo, SPF por sí solo no es una respuesta suficiente. Ahí es donde la cuestión de SPF vs. DMARC deja de ser teórica.

SPF vs. DMARC: las diferencias clave

DMARC no sustituye a SPF. Se construye sobre él y es la capa que cierra lo que SPF deja abierto.

El requisito de alineación es lo que hace que la protección de DMARC sea distinta de la de SPF: para que un mensaje supere DMARC, el dominio que pasó SPF (o DKIM) debe coincidir con el dominio que el destinatario realmente ve. Esa es la comprobación que hace materialmente más difícil la suplantación de identidad.

Una vez que se comparan así las diferencias entre SPF y DMARC, la cuestión de la aplicación se responde sola: SPF por sí solo autoriza, pero solo DMARC decide qué ocurre a continuación.

Dónde falla un enfoque solo con SPF

Imagine una campaña de phishing dirigida a sus clientes o socios. El correo muestra la dirección “From” de su marca, pero el remitente del sobre usa un dominio controlado por el atacante. SPF lo supera. Su destinatario ve un remitente creíble y su registro SPF no muestra nada incorrecto.

Un registro DMARC configurado en p=reject bloquea ese mensaje, porque el dominio de SPF no está alineado con el dominio “From” visible. Sin la aplicación de DMARC, la campaña avanza sin control. Esto no es hipotético. Es una técnica de phishing habitual y es exactamente la limitación que DMARC se creó para cerrar.

Limitaciones de SPF a escala empresarial

Gestionar solo SPF supone una carga operativa real para las grandes organizaciones. La dispersión de proveedores y la titularidad descentralizada entre unidades de negocio provocan desviaciones con el tiempo. Un registro que era correcto cuando se publicó por primera vez suele dejar de serlo.

Estas limitaciones de SPF se agravan si no hay reportes de DMARC encima. Los reportes agregados de DMARC son los que sacan a la luz la desviación de los registros: muestran qué envía, desde dónde y si supera o no la verificación, en cada dominio de su cartera. Esos datos son los que mantienen precisos los registros SPF y dan a su equipo de seguridad la información necesaria para actuar ante los desajustes de alineación.

Cómo puede ayudar Sendmarc

Pasar de solo SPF a un DMARC aplicado requiere más que un cambio de DNS. A escala empresarial, exige un inventario claro de remitentes, alineación en todas las fuentes de envío y una ruta escalonada de p=none a p=reject que no interrumpa el correo legítimo.

Sendmarc ofrece a los equipos de seguridad y de TI visibilidad unificada del estado de SPF y DMARC en cada dominio, departamento y región, de modo que los remitentes no autorizados y los fallos de alineación salen a la luz antes de convertirse en incidentes. Esto reduce la investigación manual de equipos ya sobrecargados y recorta la carga operativa de seguir manualmente los cambios de remitentes.

Para los equipos de cumplimiento y riesgo, los reportes de Sendmarc respaldan la documentación que esperan los auditores: qué fuentes envían, cómo se autentican y en qué punto está la política en toda la cartera de dominios. Esa es la base de evidencia para demostrar los controles de identidad de correo ante un consejo o un comité de auditoría, sin añadir carga de trabajo a su equipo.

Entender SPF vs. DMARC es el primer paso. Cerrar las limitaciones de SPF que implica usar solo SPF es lo que realmente protege su dominio.

¿Listo para ver cómo están sus dominios? Explore la Gestión de DMARC para pasar de SPF a la aplicación completa de DMARC.