SPF, DKIM y DMARC en Exchange Online: configurar la autenticación del correo electrónico

By Mirko Peters · 2026-10-29

Aprende a configurar SPF, DKIM y DMARC en Exchange Online para proteger tu dominio, evitar la suplantación de identidad y lograr altas tasas de entrega del correo electrónico.

Automatically translated with AI from the original post. Read the English original

Proteger el correo saliente y entrante de tu organización en Microsoft 365 requiere configurar correctamente SPF, DKIM y DMARC. Esta guía explica cómo funcionan juntos estos tres protocolos fundamentales de autenticación del correo electrónico en Exchange Online para proteger tu dominio frente a la suplantación, los ataques de phishing y los fallos de entrega no deseados.

Puntos clave

• SPF define qué servidores de correo están autorizados a enviar correo en nombre de tu dominio personalizado.
• DKIM firma criptográficamente tus mensajes salientes para verificar que el contenido del correo no se ha modificado durante el tránsito.
• DMARC utiliza los resultados de SPF y DKIM para determinar cómo deben tratar los servidores receptores los correos no autenticados que se hacen pasar por tu organización.
• El enrutamiento predeterminado de onmicrosoft.com ofrece una entrega básica, pero los dominios personalizados requieren registros SPF y DKIM explícitos en tu DNS público.
• Una monitorización adecuada de DMARC comienza con una directiva 'none' antes de pasar a una aplicación estricta de cuarentena o rechazo.

Comprender la autenticación de correo electrónico en Exchange Online

Al migrar a Exchange Online, las organizaciones suelen centrarse en la migración de buzones, los conectores híbridos y el uso compartido de calendarios. Sin embargo, que el flujo de correo funcione bien implica mucho más que dirigir los registros MX a Microsoft. Sin una autenticación de correo electrónico adecuada, las comunicaciones legítimas de la empresa acaban con frecuencia en las carpetas de spam o, peor aún, los actores de amenazas suplantan fácilmente la identidad de tu marca.

Los protocolos de autenticación de correo electrónico funcionan como el pasaporte digital y los guardias de seguridad de tu dominio. Cuando un buzón de Exchange Online envía un correo a un destinatario externo, como Gmail o Yahoo, los servidores receptores necesitan una prueba absoluta de que el mensaje procede realmente de tu organización y que no ha sido falsificado por un tercero malintencionado. Por eso, la tríada formada por SPF, DKIM y DMARC es imprescindible para cualquier administrador cloud moderno.

El papel de SPF en Exchange Online

Sender Policy Framework (SPF) es un registro TXT fundamental publicado en tu proveedor DNS público. Enumera explícitamente las direcciones IP y los servicios autorizados a enviar correo en nombre de tu dominio. En el caso de un inquilino de Exchange Online, el registro SPF debe incluir el mecanismo de inclusión de Microsoft.

Un registro SPF típico de Exchange Online es muy sencillo y normalmente incluye include:spf.protection.outlook.com. Cuando un servidor externo recibe un correo de tu dominio, consulta tu DNS público, revisa el registro SPF y evalúa si la dirección IP del servidor emisor coincide con tu lista autorizada. Si tu organización utiliza herramientas de marketing, sistemas de tickets o plataformas de RRHH de terceros que envían correo en tu nombre, estos servicios también deben integrarse cuidadosamente en tu único registro SPF para evitar errores de sintaxis y fallos por límite de búsquedas.

Implementar la firma DKIM

Mientras que SPF valida el servidor emisor, DomainKeys Identified Mail (DKIM) valida la integridad del propio mensaje. DKIM añade una firma digital al encabezado de cada correo saliente. Esta firma está vinculada criptográficamente a una clave pública publicada en la configuración DNS de tu dominio.

Exchange Online facilita mucho la configuración de DKIM a través del portal de Microsoft Defender, aunque requiere crear registros CNAME específicos en el registrador de DNS externo. Una vez habilitado, Exchange Online firma automáticamente tus mensajes salientes. Si un actor malintencionado intercepta y modifica tu correo en tránsito, el hash criptográfico no supera la verificación, lo que indica de inmediato a la pasarela de correo receptora que el mensaje ha sido manipulado. Habilitar DKIM es un paso obligatorio para mejorar la entregabilidad en los principales proveedores de correo, tanto de consumo como empresariales.

Aplicar directivas de DMARC

La autenticación de mensajes basada en dominios, informes y conformidad (DMARC) reúne SPF y DKIM en una única directiva. Un registro DMARC indica a los servidores de correo receptores qué hacer si un mensaje entrante no supera las comprobaciones de SPF y DKIM. Y, lo que es fundamental, DMARC también introduce reglas de alineación, que garantizan que el dominio visible para el usuario final en el encabezado 'From' coincida con los dominios autenticados por SPF y DKIM.

Al empezar con DMARC en Exchange Online, los administradores deben comenzar siempre con una directiva de supervisión (p=none). Esta configuración indica a los servidores receptores que envíen a una dirección de informes designada informes XML diarios de agregados y forenses, sin bloquear ningún correo. Analizar estos informes permite a los administradores de TI descubrir remitentes no autorizados, corregir sistemas internos mal configurados y pasar gradualmente su directiva a p=quarantine y, finalmente, a p=reject para lograr la máxima protección del dominio.

Solución de errores habituales en el flujo de correo

Incluso con configuraciones de DNS correctas, los administradores que gestionan el flujo de correo de Exchange Online se topan con trampas sutiles. Un problema habitual surge en las implementaciones híbridas, en las que los correos se enrutan tanto por servidores Exchange locales como por Exchange Online Protection (EOP). Si los conectores de retransmisión internos no tienen los permisos adecuados ni las declaraciones de IP de origen, los mensajes salientes pueden romper la firma DKIM o provocar fallos suaves de SPF (soft-fails).

Otro desafío frecuente se produce con las aplicaciones de terceros que retransmiten correo a través de Exchange Online mediante envío de cliente SMTP o métodos de envío directo. Si estas aplicaciones usan tu dominio personalizado principal en la dirección del remitente sin estar autorizadas explícitamente en tu registro SPF ni autenticadas mediante un buzón específico de aplicación, los filtros antispam marcan rápidamente tus mensajes. Revisar los registros de seguimiento de mensajes en el Centro de administración de Exchange ayuda a detectar estas brechas de autenticación antes de que afecten a la operativa diaria del negocio.

Conclusión y próximos pasos

Proteger tu dominio personalizado en Exchange Online va mucho más allá de crear buzones y compartir calendarios. Dominar SPF, DKIM y DMARC garantiza que las comunicaciones de tu organización sean fiables, cumplan la normativa y lleguen con seguridad a las bandejas de entrada de los destinatarios de todo el mundo. Para explorar la arquitectura básica del correo, los buzones compartidos y las estrategias en la nube frente a las híbridas, no dejes de escuchar el episodio completo del podcast, con una explicación clara y sin jerga de todo lo que ocurre dentro del motor de correo de primer nivel de Microsoft.

Preguntas frecuentes

¿Cuál es la cadena include de SPF para Exchange Online?

La cadena include de SPF estándar para Exchange Online de Microsoft 365 es include:spf.protection.outlook.com. Esto indica a los servidores receptores que confíen en la infraestructura de envío en la nube autorizada de Microsoft para tu dominio.

¿Exchange Online habilita DKIM automáticamente?

No. Aunque Microsoft proporciona la infraestructura, los administradores deben habilitar DKIM manualmente en el portal de Microsoft Defender y publicar los registros CNAME necesarios en el registrador de DNS público.

¿Cuál es la directiva de DMARC inicial recomendada?

La directiva inicial recomendada es p=none. Te permite recopilar los informes agregados y forenses de DMARC sin afectar a la entrega del correo, lo que ayuda a identificar los orígenes legítimos de correo antes de aplicar directivas más estrictas de cuarentena o rechazo.

¿Por qué mis correos de Exchange Online acaban en spam?

Los correos suelen acabar en spam si tu dominio no tiene correctamente configurados los registros SPF, DKIM o DMARC, o si la dirección IP de envío tiene un historial de reputación deficiente. Configurar estos protocolos de autenticación genera reputación de remitente y garantiza una ubicación adecuada en la bandeja de entrada.