Alguien envía emails falsos con tu dominio (suplantación)

Qué significa

El email se diseñó sin ninguna prueba de quién es el remitente. Cualquiera puede escribir tu dirección en la línea From, igual que cualquiera puede escribir el remite que quiera en una carta en papel. Esto se llama suplantación (spoofing).

Señales de que te está pasando:

• Recibes rebotes de emails que nunca has enviado.
• Clientes o socios te dicen que han recibido facturas, peticiones de pago o enlaces extraños «de tu parte».
• Los informes DMARC muestran servidores que no conoces enviando con tu dominio.

Por qué importa

Los emails suplantados se usan para phishing y fraude con facturas. Perjudican a tus clientes y a tu marca, y pueden dañar la reputación de tu dominio ante los proveedores de correo.

Nota: si alguien ha pirateado tu propio buzón, los emails salen realmente de ti. Primero cambia la contraseña, activa la verificación en dos pasos y revisa las reglas de reenvío.

Cómo comprobarlo

• Usa el Escáner de dominio en /domain-scanner: comprueba que SPF, DKIM y DMARC existen y mira tu política DMARC.
• Lee los informes DMARC: enumeran cada IP que ha enviado emails con tu dominio y si se superaron las comprobaciones. La monitorización DMARC de Delivmail, en el panel de pago, los recibe y los resume por ti.
• Si tienes un email sospechoso, mira sus cabeceras: un email que falla SPF y DKIM para tu dominio no es tuyo.

Cómo solucionarlo

1. Configura SPF y DKIM para cada servicio que envía legítimamente por ti.
2. Publica DMARC en modo de monitorización si todavía no lo tienes:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

3. Lee los informes durante dos a cuatro semanas. Clasifica las fuentes en «mías» (arregla su SPF o DKIM) y «no mías» (suplantación).
4. Pasa a quarantine cuando todos tus remitentes reales superen las comprobaciones:

   v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

5. Después pasa a reject, que indica a los receptores que rechacen los emails suplantados:

   v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

6. Protege tus otros dominios: los dominios que nunca envían emails deberían tener v=spf1 -all y un registro DMARC con p=reject.
7. Sigue monitorizando. Las herramientas nuevas que añadas más adelante deben estar autenticadas, o p=reject las bloqueará.

Lo que DMARC no puede hacer

DMARC protege tu dominio exacto. No impide los dominios parecidos como yourdomaín.com o yourdomain-billing.com. Avisa a tus clientes y denuncia los dominios falsos ante su registrador.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Vuelve a pasar el Escáner de dominio: la política DMARC debería mostrar reject. Envía un email de prueba desde la página de inicio para confirmar que tus propios emails siguen superando las comprobaciones. En las semanas siguientes, los informes DMARC deberían mostrar los emails suplantados como rechazados.