Un cliente te reenvía un mensaje que cree que enviaste tú. Le pide pagar una factura en una cuenta nueva. Tú nunca lo escribiste. El campo del remitente muestra tu dominio, pero el mensaje salió de un servidor desconocido al otro lado del mundo.
Eso es el email spoofing. Alguien falsifica la dirección De para que los destinatarios crean que el correo es de tu marca. Daña la confianza muy rápido y puede engañar a la gente para que envíe dinero o haga clic en enlaces dañinos. Entender el spoofing conecta directamente con los patrones de phishing de cómo detectar un correo de phishing. Aquí verás cómo funciona y qué lo detiene.
¿Qué es el email spoofing?
El email spoofing consiste en enviar un mensaje con una dirección de remitente falsa, normalmente una que coincide con un dominio que es tuyo. El protocolo del correo se creó en una época de redes pequeñas y de confianza, así que el campo De por sí solo no demuestra quién envió el mensaje.
Los atacantes aprovechan ese hueco para hacerse pasar por bancos, proveedores y marcas en crecimiento. Los clientes que reciben correo falsificado pueden ignorar después tus mensajes reales, aunque sean legítimos.
Cómo daña el spoofing a tu marca
El correo falsificado puede provocar devoluciones de cobros, oleadas de consultas a soporte y quejas públicas que tú no causaste. Los destinatarios culpan al nombre que ven en la bandeja de entrada, no al servidor oculto detrás del fraude.
Tu reputación como remitente también sufre. Si suficiente correo malo usa tu dominio, los filtros pueden tratar con más dureza todo lo que envíes. La confianza que construyes con cómo el correo profesional genera confianza se erosiona cuando cualquiera puede poner tu dirección en un mensaje.
Cómo proteger tu dominio del spoofing
1. Publica registros de autenticación
Los registros SPF, DKIM y DMARC indican a los servidores receptores qué correo está autorizado desde tu dominio. No frenan todos los ataques por sí solos, pero dan a los proveedores de correo reglas claras para tratar las falsificaciones. Los configurarás en qué son los registros SPF, DKIM y DMARC.
2. Envía solo a través de tu hosting de correo
Cuando todo el correo saliente pasa por los servidores de tu proveedor, tu registro SPF se mantiene correcto. Las herramientas sueltas que envían "desde" tu dominio sin usar a tu proveedor pueden romper la autenticación y abrir huecos para el spoofing.
3. Supervisa y endurece la política con el tiempo
Empieza con los informes de supervisión de tu registro DMARC para ver quién envía correo en nombre de tu dominio. Endurece la política cuando confirmes que los remitentes legítimos pasan las comprobaciones. La base DNS de registros DNS para correo con dominio propio lo hace posible.
El spoofing no desaparecerá de la noche a la mañana, pero la autenticación da a los servidores receptores una forma de rechazar a los impostores. Combina los registros con formación del equipo para que tu gente y tus clientes sepan cómo te comunicas de verdad.
Preguntas frecuentes
¿El email spoofing es lo mismo que hackear mi buzón?
El spoofing falsifica la dirección del remitente sin necesitar acceso a tu bandeja de entrada. Un buzón hackeado es otro problema: alguien inicia sesión como si fuera tú. Ambos exigen contraseñas seguras y registros de autenticación, que es fácil gestionar cuando dominio y correo están en WEMASY mediante el creador de webs.
¿Pueden los clientes saber si un correo es falso?
La mayoría de los destinatarios no puede ver los encabezados técnicos sin entrar en los detalles del mensaje. La autenticación ayuda a que su proveedor de correo bloquee o marque las falsificaciones antes de que lleguen. Unas políticas claras de pago y contacto en tu web les dan una segunda línea de defensa.
¿Un correo con dominio propio frena el spoofing automáticamente?
Un dominio propio te da control sobre el DNS, pero la protección contra el spoofing requiere registros de autenticación que configuras tú. Lee qué es una dirección de correo con dominio propio para ver cómo empezar, y luego añade SPF, DKIM y DMARC.
¿Pueden los mensajes de marketing causar problemas de spoofing?
Cualquier herramienta que envíe en nombre de tu dominio debe aparecer en tu registro SPF y pasar la firma DKIM. Si falta una herramienta de campañas en tus registros, el correo legítimo puede fallar las comprobaciones igual que las falsificaciones.
¿Qué debo hacer si un cliente me avisa de un correo falso desde mi dominio?
Dale las gracias, confirma que tú no lo enviaste y pídele que reenvíe los encabezados si tu proveedor admite denuncias de abuso. Revisa tus informes DMARC para ver si hay servidores no autorizados usando tu dominio.
¿Cómo se relaciona el spoofing con los problemas de carpeta de spam?
Cuando un dominio envía una mezcla de correo autenticado y no autenticado, a los filtros les cuesta confiar en él. El capítulo sobre por qué los correos de empresa acaban en spam explica cómo se solapan reputación y autenticación.