Hay una prueba incómoda que casi ninguna empresa ha hecho: pedirle a alguien de fuera que envíe un correo firmado con su dominio. En la mayoría de los casos, funciona. El mensaje llega, con el nombre de la empresa en el remitente, y el destinatario no tiene forma de saber que no es real.
No es un fallo de tu proveedor de correo ni de tu informático. Es el comportamiento por defecto del correo electrónico: un protocolo diseñado en los años 80, cuando internet era un club pequeño donde todos se fiaban de todos. Ese «quién puede escribir en tu nombre» nunca vino cerrado de fábrica. Hay que cerrarlo a mano, y casi nadie lo hace.
Por qué tu dominio está abierto por defecto
Cuando envías un correo, el sistema del destinatario recibe un mensaje que *dice* venir de tu dominio. Sin más comprobaciones, se lo cree. No verifica si el servidor que lo mandó tiene permiso para hacerlo, ni si el contenido se ha manipulado por el camino.
Existen tres candados que resuelven esto —SPF, DKIM y DMARC—, pero son registros técnicos que hay que publicar y configurar en el DNS de tu dominio. Si nadie los ha puesto (o los ha puesto a medias, que es lo más común), tu dominio sigue aceptando que cualquiera hable por él.
El dato es contundente: la gran mayoría de las empresas no bloquea los correos que falsifican su propio dominio. Hoy, con herramientas gratuitas y diez minutos, alguien puede mandar una factura falsa, un mensaje a tus empleados o un correo a un cliente, todo con tu nombre delante.
Qué puede pasar si nadie lo cierra
No es un riesgo teórico. Los tres escenarios más habituales:
– Fraude de factura. Un atacante escribe a tu cliente o a tu departamento de administración haciéndose pasar por ti, con un número de cuenta cambiado. El correo parece legítimo porque el dominio *es* el tuyo.
– Phishing a tus propios empleados. Un mensaje «del director» pidiendo una transferencia urgente o unas credenciales. Cuesta desconfiar cuando el remitente encaja.
– Daño de marca. Tus clientes reciben spam o estafas con tu nombre. Aunque tú no hayas hecho nada, la desconfianza se te queda pegada.
Cómo comprobar si tu dominio está expuesto
Puedes hacerte una idea rápida tú mismo. Busca en tu DNS si existen registros SPF, DKIM y, sobre todo, DMARC. Si no hay un registro DMARC, tu dominio está prácticamente abierto. Y si lo hay pero está en modo `p=none`, significa que estás observando pero **no bloqueando** nada: la puerta sigue sin cerrarse.
El problema es que esa comprobación superficial no te dice lo importante: *quién* está enviando correo en tu nombre ahora mismo, cuántas de esas fuentes son legítimas y cuáles no, y si activar el bloqueo romperá tus envíos reales. Eso solo se ve analizando los informes que los proveedores de correo generan sobre tu dominio.
El siguiente paso
Cerrar esta puerta bien hecho no consiste en pegar tres registros y olvidarse: mal configurado, el remedio bloquea tus propios correos legítimos. Se hace por fases, identificando primero todas las fuentes que envían en tu nombre y subiendo la protección solo cuando los datos confirman que es seguro.
En Reliant analizamos tu dominio y te enviamos un informe con lo que está expuesto y qué riesgo real tiene, sin coste y sin compromiso. Si quieres saber si cualquiera puede escribir en tu nombre —y dejar de estarlo—pide tu diagnóstico gratuito.