Email Security Stack: SPF, DKIM y DMARC en producción

Guía profesional de despliegue gradual: de dominio sin protección a rechazo activo de suplantación en 4 semanas. Resumen ejecutable — la versión completa con 3 guías más en el PDF Vol. 2 (pay what you want).

El problema

SMTP no valida remitentes: cualquiera puede enviar 'desde' tu dominio. SPF + DKIM + DMARC cierran el agujero, en ese orden.

Semana 1-2: SPF

v=spf1 mx include:_spf.google.com -all
# REGLAS: un solo registro SPF por dominio; terminar en -all cuando el
# inventario este completo; limite de 10 lookups, usar ip4:/ip6: directos

Semana 2-3: DKIM

Generar par 2048-bit, publicar selector._domainkey en TXT, activar firma en el servidor. Verificar la cabecera Authentication-Results: dkim=pass en un correo real.

Semana 3-4: DMARC gradual

_dmarc TXT "v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com; fo=1; adkim=s; aspf=s"
# -> despues p=quarantine; pct=50 -> finalmente p=reject
# adkim=s/aspf=s: alineacion estricta = para phishing de lookalikes

Bonus: MTA-STS

Obliga TLS en la entrega: _mta-sts TXT + .well-known/mta-sts.txt con mode: enforce. TLS-RPT (_smtp._tls) recibe reportes de fallos.

Errores que destruyen entregabilidad

Dos registros SPF (se anulan), p=reject sin pasar por p=none con reportes, >10 lookups, selector DKIM viejo tras migración, y no leer los reportes rua (ahí aparece el correo legítimo olvidado).

📕 Biblioteca CROX Vol. 2 — 3 guías profesionales (PDF, pay what you want)