Configurar SPF, DKIM y DMARC en Plesk: Guía anti-spoofing

¿Recibes correos raros que parecen enviados por ti mismo? ¿Temes que alguien esté suplantando tu identidad digital para estafar a tus contactos?

Si tienes un sitio web o un negocio, tu correo electrónico es una de tus herramientas más valiosas. Pero también es uno de los objetivos favoritos de los ciberdelincuentes. La buena noticia es que, si usas Plesk como panel de control de tu hosting, tienes a tu disposición un arsenal de herramientas para blindar tu comunicación.

En esta guía extensa y práctica, vamos a desgranar, paso a paso y sin tecnicismos innecesarios, cómo activar y configurar SPF, DKIM y DMARC en Plesk. Al final, no solo habrás protegido tu dominio, sino que entenderás exactamente qué hace cada protocolo para que puedas dormir tranquilo sabiendo que tu correo es legítimo y confiable.

¿Por qué es tan importante proteger tu correo?

Imagina que alguien se hace pasar por ti y envía un mensaje a tus clientes pidiendo datos bancarios o un pago urgente. Eso se llama spoofing o suplantación de identidad. Las consecuencias pueden ser desastrosas: pérdida de confianza, daños económicos y una reputación digital por los suelos.

Los filtros de correo modernos (como Gmail, Outlook o Yahoo) son muy listos. Si tu dominio no tiene configurados los protocolos de autenticación, es muy probable que tus correos legítimos acaben en la carpeta de spam o, peor aún, sean bloqueados directamente.

Aquí es donde entran en juego los tres grandes defensores: SPF, DKIM y DMARC. Piénsalo así:

SPF es como una lista de invitados en la puerta de una fiesta. Le dice al servidor receptor: "Solo estos servidores están autorizados a enviar correos en nombre de mi dominio".
DKIM es como un sello de cera en una carta antigua. Añade una firma digital criptográfica al correo que garantiza que el mensaje no ha sido alterado en el camino y que realmente proviene de tu dominio.
DMARC es el jefe de seguridad. Le dice al servidor receptor: "Si un correo dice ser mío pero falla las pruebas de SPF y DKIM, haz esto: envíalo a spam o recházalo por completo".

Configurar los tres es la Santísima Trinidad de la seguridad del correo electrónico y el estándar de oro para el anti-spoofing.

Preparando el terreno: Requisitos previos en Plesk

Antes de empezar a configurar nada, asegurémonos de que tienes el control total. No te preocupes, es más fácil de lo que parece.

Acceso al Panel de Control

Primero, inicia sesión en tu panel de Plesk. Normalmente accedes a través de una URL como https://tu-dominio.com:8443 o una dirección que te haya proporcionado tu proveedor de hosting.

Gestión de Zonas DNS

Para que todo funcione, necesitas poder editar los registros DNS de tu dominio. En Plesk, esto se hace en la sección Sitios web y dominios > haz clic en DNS (o "Configuración de DNS") de tu dominio.

[WARNING]: Modificar el DNS puede afectar a otros servicios como tu web o subdominios. Realiza los cambios con cuidado y guarda los valores anteriores por si acaso.

Paso 1: Configurar SPF en Plesk (El Listado de Invitados)

El SPF (Sender Policy Framework) es el primer paso lógico. Es un registro TXT en tu DNS que define qué servidores están autorizados a enviar correo por ti.

Activando SPF con un clic (La forma fácil)

Plesk tiene una función integrada que facilita esto enormemente.

Ve a Sitios web y dominios y selecciona tu dominio.
Busca el icono de Configuración de correo (o "Mail Settings").
En la sección Configuración de envío de correo, busca la casilla que dice Activar protección de suplantación de identidad (SPF). ¡Márcala!
Haz clic en Aceptar o Aplicar.

Plesk añadirá automáticamente un registro TXT de SPF a tu zona DNS. Normalmente, el valor será algo como: v=spf1 +a +mx -all. Esto significa que solo tus servidores web (A) y de correo (MX) pueden enviar correos.

Configuración manual del registro SPF (La forma personalizada)

Si tu correo lo envía un servicio externo (como SendGrid, Mailchimp o un CRM), necesitarás añadir sus servidores a tu registro SPF.

Ve a Sitios web y dominios > tu dominio > DNS.
Haz clic en Añadir registro.
Selecciona el tipo TXT.
En el campo Nombre, introduce @ (o deja el dominio, depende de la interfaz).
En el campo Valor, escribe tu registro SPF. Por ejemplo, para incluir un servicio externo: v=spf1 +a +mx include:servicioexterno.com -all.

[TIP]: El mecanismo -all al final es el más estricto y recomendado. Significa que si el servidor no está en la lista, el correo debe ser rechazado. Usa ~all si quieres que sea "blando" (marcar como spam pero no rechazar) mientras pruebas.

Paso 2: Activar DKIM en Plesk (El Sello de Cera)

DKIM (DomainKeys Identified Mail) añade una firma digital a cada correo saliente. Plesk lo gestiona de maravilla.

Habilitando la firma DKIM

Ve a Sitios web y dominios y selecciona tu dominio.
Haz clic en Configuración de correo.
Busca la sección Firma DKIM.
Marca la casilla Activar firma DKIM para los mensajes salientes.
Guarda los cambios.

Plesk generará automáticamente un par de claves (pública y privada) y añadirá el registro DNS correspondiente por ti. Es un proceso transparente.

Verificando el registro DKIM en DNS

Aunque Plesk lo hace solo, es bueno saber dónde está. Normalmente, el registro DKIM se añade como un registro TXT con un nombre tipo default._domainkey. Puedes verlo en tu zona DNS.

[INFO]: Si tu dominio está en un servidor Plesk y tienes el correo gestionado por otro proveedor (como Google Workspace o Microsoft 365), deberás generar las claves DKIM desde ese servicio y añadir el registro TXT manualmente en Plesk. El proceso es diferente, pero la lógica es la misma: el registro público debe estar en tu DNS.

Paso 3: Configurar DMARC en Plesk (El Jefe de Seguridad)

DMARC (Domain-based Message Authentication, Reporting & Conformance) es la política que unifica SPF y DKIM. No se activa con un clic en Plesk (aunque algunos paneles lo permiten), sino que se añade como un registro DNS TXT más.

Creando tu política DMARC

Esta es la parte más "estratégica" de la configuración. Debes decidir qué quieres que hagan los servidores receptores si un correo falla las pruebas.

Ve a Sitios web y dominios > tu dominio > DNS.
Haz clic en Añadir registro.
Elige el tipo TXT.
En el campo Nombre, escribe _dmarc.
En el campo Valor, introduce tu política. Un ejemplo básico y seguro para empezar es:

v=DMARC1; p=none; rua=mailto:tu@correo.com; ruf=mailto:tu@correo.com; fo=1

Vamos a desglosar esto:

v=DMARC1: Indica que es un registro DMARC (obligatorio).
p=none: Esta es la política inicial. No le pide a los servidores que rechacen nada, solo que te envíen informes. Es perfecto para empezar.
rua=mailto:: Es la dirección donde quieres recibir los informes agregados (resúmenes de tráfico).
ruf=mailto:: Es la dirección para informes forenses (detalles de fallos individuales). No todos los proveedores los envían.
fo=1: Pide informes forenses si falla cualquiera de las dos pruebas (SPF o DKIM).

Escalando tu política DMARC

Una vez que hayas verificado que tus correos están pasando las pruebas (revisando los informes rua), puedes ir subiendo el nivel de exigencia.

Política de cuarentena: Cambia p=none por p=quarantine. Esto le dice a los servidores que los correos sospechosos vayan a la carpeta de spam.
Política de rechazo: Cambia p=none por p=reject. Esta es la más estricta. Ordena a los servidores que rechacen por completo los correos que no pasen las pruebas.

[WARNING]: No saltes directamente a p=reject sin antes monitorear. Podrías bloquear correos legítimos si tienes algún servicio que envíe correos sin la firma adecuada.

Herramientas de Diagnóstico: ¿Cómo sé que está funcionando?

Configurar todo es un gran paso, pero necesitas saber si lo has hecho bien. Afortunadamente, existen herramientas gratuitas y muy útiles.

Usando verificadores online

Páginas como Mail-Tester.com o MXToolbox son tus mejores amigas.

Ve a Mail-Tester.com y te dará una dirección de correo temporal.
Envía un correo de prueba desde tu dominio a esa dirección.
Espera unos minutos y haz clic en el botón de "Check Score".

La herramienta analizará tu correo y te dirá si el SPF, DKIM y DMARC están correctamente configurados. Te dará una puntuación y te explicará cualquier error que encuentre.

Revisando los informes DMARC

Cuando configures rua, empezarás a recibir informes XML de los grandes proveedores (Google, Yahoo, etc.). Pueden ser difíciles de leer, pero hay herramientas gratuitas como dmarcian o Postmark que los interpretan y te los muestran de forma clara.

Preguntas Frecuentes (FAQ) sobre SPF, DKIM y DMARC en Plesk

Aquí respondemos las dudas más comunes que nos llegan al soporte técnico.

¿Qué pasa si no configuro estos protocolos?

Tus correos tienen una alta probabilidad de acabar en spam. Además, tu dominio es un blanco fácil para el spoofing, lo que puede dañar tu reputación y la de tus clientes.

¿Puedo tener múltiples registros SPF?

No, no debes. Solo se permite un registro SPF por dominio. Si tienes varios, fallará la validación. En su lugar, debes combinarlos en uno solo usando el mecanismo include.

¿DKIM es obligatorio?

No es obligatorio, pero es altamente recomendado. Es la única prueba que se mantiene incluso si el correo es reenviado. SPF a menudo falla en los reenvíos, pero DKIM no.

¿Cuánto tarda en propagarse el DNS?

Puede tardar desde unos minutos hasta 24-48 horas. Ten paciencia después de hacer los cambios.

Uso Syspanel (antes HestiaCP) en lugar de Plesk, ¿esto me sirve?

¡Buena pregunta! La lógica es la misma, pero la interfaz cambia. Syspanel, que se accede por el puerto 2106, también tiene opciones para gestionar DNS y correo. Podrás añadir los mismos registros TXT para SPF, DKIM y DMARC, pero tendrás que buscar las secciones de "DNS" o "Correo" dentro de tu panel. La configuración del protocolo es universal, solo cambia el botón donde haces clic.

¿Plesk me ayuda con el registro DMARC?

Plesk no lo crea automáticamente como hace con SPF o DKIM, pero puedes añadirlo manualmente como un registro TXT en la zona DNS sin ningún problema. Es un proceso de dos minutos.

Conclusión: Tu blindaje está completo

Proteger tu correo electrónico con SPF, DKIM y DMARC en Plesk no es solo una buena práctica; es una necesidad en el mundo digital actual. Has aprendido a:

Definir quién puede enviar correos por ti (SPF).
Firmar tus mensajes para garantizar su integridad (DKIM).
Ordenar a los servidores receptores qué hacer con los correos falsos (DMARC).

Siguiendo estos pasos, no solo mejorarás la entregabilidad de tus correos, sino que construirás una barrera sólida contra el fraude y la suplantación de identidad. Es una inversión de unos minutos que te ahorrará dolores de cabeza enormes en el futuro.

Te animamos a que configures la política p=none primero, monitorees los informes durante una o dos semanas y, cuando veas que todo es correcto, subas la política a quarantine o reject.

Tu dominio, tus clientes y tu reputación te lo agradecerán. Si tienes más dudas, no dudes en consultar nuestra base de conocimientos o contactar con nuestro equipo de soporte. ¡Estamos aquí para ayudarte a mantener tu mundo digital seguro!