Configura SPF, DKIM y DMARC en Plesk para evitar spoofing

¿Te preocupa que alguien pueda enviar correos electrónicos falsos usando tu dominio? Es una amenaza muy real llamada spoofing (suplantación de identidad), y puede dañar la reputación de tu negocio o hacer que tus correos legítimos terminen en la carpeta de spam.

La buena noticia es que tu panel de control Plesk incluye todas las herramientas necesarias para blindar tu correo electrónico. No necesitas ser un experto en redes para configurarlo, solo seguir esta guía paso a paso.

Vamos a explicar qué son SPF, DKIM y DMARC, por qué son la santísima trinidad de la autenticación de correo y, lo más importante, cómo activarlos y configurarlos en Plesk para que tus emails lleguen siempre a la bandeja de entrada y los ciberdelincuentes no puedan suplantarte.

¿Qué es el Spoofing y por qué debería importarte?

Imagina que alguien llama a tu oficina diciendo que es tu banco y pide tu contraseña. El spoofing de correo es exactamente eso, pero por escrito. Un atacante falsifica la dirección del remitente para que parezca que el email viene de tu empresa (por ejemplo, tuempresa.com).

Las consecuencias pueden ser graves:

Robo de datos: Pueden pedir a tus clientes información confidencial.
Daño reputacional: Si envían malware en tu nombre, la confianza en tu marca se desploma.
Listas negras: Los proveedores de correo (Gmail, Outlook) pueden marcar tu dominio como fraudulento, y todos tus emails legítimos acabarán en spam.

Para evitar esto, existen tres mecanismos de verificación que trabajan juntos. Son como las tres cerraduras de una puerta acorazada.

La Santísima Trinidad: SPF, DKIM y DMARC explicados fácil

Antes de tocar nada en Plesk, necesitas entender qué hace cada uno. No te preocupes, es más sencillo de lo que parece.

### SPF (Sender Policy Framework): La lista de invitados

SPF es una lista blanca. Publicas en tu dominio (a través de un registro DNS) una lista de los servidores que están autorizados a enviar correos en tu nombre.

Analogía: Es como una lista de invitados a una fiesta privada. Solo los que están en la lista (tus servidores de correo) pueden entrar (enviar emails). Si un extraño intenta colarse (un servidor no autorizado), el portero (el servidor receptor) lo rechaza.

### DKIM (DomainKeys Identified Mail): La firma digital

DKIM añade una firma criptográfica a cada correo que envías. Esta firma se genera con una clave privada que solo tú tienes, y se verifica con una clave pública que publicas en tu DNS.

Analogía: Es como firmar un cheque. El banco (el servidor receptor) puede verificar que la firma es auténtica comparándola con la que tiene en sus registros (la clave pública). Si la firma no coincide, el documento se considera falsificado.

### DMARC (Domain-based Message Authentication, Reporting & Conformance): El juez y el policía

DMARC es la política que dicta qué hacer si un correo falla las pruebas de SPF y DKIM. ¿Lo envías a spam? ¿Lo rechazas por completo? Además, te envía informes sobre quién está intentando usar tu dominio.

Analogía: Es el juez que decide el castigo para los que no están en la lista de invitados y no tienen la firma correcta. También es el detective que te informa de los intentos de fraude.

En resumen: SPF dice quién puede enviar, DKIM demuestra que el correo es auténtico y no ha sido alterado, y DMARC dice qué hacer con los que no cumplen las reglas.

Configuración Paso a Paso en Plesk

Ahora sí, vamos a la acción. Sigue estos pasos con calma. Todo se hace desde el panel de Plesk.

Paso 1: Accede a tu Panel de Plesk

Inicia sesión en tu panel de Plesk. Normalmente es algo como https://tu-dominio.com:8443 o la URL que te haya proporcionado tu proveedor de hosting.

Paso 2: Activa el Correo Electrónico para tu Dominio

En el menú lateral izquierdo, haz clic en "Correo electrónico" y luego en tu nombre de dominio. Si aún no has creado una cuenta de correo, hazlo ahora. Esta guía asume que ya tienes una cuenta configurada.

Paso 3: Configura el SPF (Sender Policy Framework)

Plesk suele crear un registro SPF por defecto, pero vamos a verificarlo y ajustarlo.

Ve a "Sitios web y dominios" en el menú principal.
Haz clic en "DNS" (o "Configuración de DNS").
Busca un registro de tipo TXT que empiece con v=spf1. Si no existe, haz clic en "Añadir registro".
Crea un registro con los siguientes valores:
- Tipo: TXT
- Nombre del registro (Host): @ (o tu dominio sin www).
- Valor del registro: v=spf1 +a +mx +a:tu-dominio.com -all
[WARNING] El valor +a y +mx autoriza a los servidores que resuelven tu dominio y a tus servidores de correo. Si usas un servicio de email marketing externo (como Mailchimp), deberás añadir su dominio a esta lista. Por ejemplo: v=spf1 +a +mx include:servicioexterno.com -all. No uses -all (fallo duro) hasta estar seguro de que tu configuración es correcta. Puedes empezar con ~all (fallo suave) para pruebas.

Paso 4: Activa y Configura el DKIM (DomainKeys Identified Mail)

Plesk facilita enormemente la creación de DKIM.

Vuelve a "Sitios web y dominios".
Haz clic en tu dominio y busca la sección "Correo electrónico" o el icono de "Configuración de correo".
Busca la pestaña o el ajuste llamado "DKIM" o "Firma de correo electrónico".
Marca la casilla "Activar firmado DKIM para este dominio" o similar.
Haz clic en "Aplicar" o "Guardar".

Plesk generará automáticamente las claves pública y privada, y añadirá el registro DNS necesario. No necesitas hacer nada más. Es mágico.

[TIP] Después de activar DKIM, verifica que se ha creado un registro DNS de tipo TXT con un nombre que empieza por default._domainkey. Plesk lo hace solo, pero es bueno saberlo para verificarlo.

Paso 5: Configura el DMARC (Domain-based Message Authentication, Reporting & Conformance)

Aquí es donde defines tus políticas. Plesk no genera DMARC automáticamente en todas las versiones, así que lo crearemos manualmente.

Ve a "Sitios web y dominios" -> "DNS".
Haz clic en "Añadir registro".
Crea un registro con estos valores:
- Tipo: TXT
- Nombre del registro (Host): _dmarc (así, tal cual).
- Valor del registro: v=DMARC1; p=none; rua=mailto:tu-correo@tu-dominio.com; pct=100
Vamos a desglosar este valor:
- v=DMARC1: Indica la versión del protocolo.
- p=none: Política de cuarentena. Es la política más suave. No hace nada, solo supervisa. Es perfecta para empezar y ver qué está pasando sin afectar la entrega de correos.
- rua=mailto:...: Dirección de correo donde recibirás informes XML de los mensajes que fallan.
- pct=100: Aplica la política al 100% de los correos.

Paso 6: La Política DMARC Perfecta (de menos a más estricto)

Una vez que hayas supervisado durante una o dos semanas con p=none, es hora de ser estricto.

Política p=quarantine: Cambia el valor de p=none a p=quarantine. Esto hará que los correos que no pasen las pruebas vayan a la carpeta de spam en lugar de la bandeja de entrada. Es un buen equilibrio entre seguridad y evitar perder correos legítimos.
Política p=reject: Después de unas semanas más, cambia a p=reject. Esta es la política más segura. Los correos que no pasen las verificaciones serán rechazados por completo, y el remitente recibirá un error.

[WARNING] No empieces nunca con p=reject. Si tienes un error en tu configuración de SPF o DKIM, podrías estar bloqueando tus propios correos legítimos. La progresión lógica es: none -> quarantine -> reject.

Verificación y Solución de Problemas

Después de configurar todo, es crucial verificar que funciona.

### Cómo comprobar que todo está bien

Usa herramientas online: Hay muchas herramientas gratuitas como MXToolbox, DMARC Analyzer o Google Admin Toolbox. Introduce tu dominio y te dirán si tus registros SPF, DKIM y DMARC son válidos.
Envía un correo de prueba: Envía un email a una cuenta de Gmail o Outlook y mira las cabeceras del mensaje. Busca las líneas spf=pass, dkim=pass y dmarc=pass. Si ves fail, algo no está bien.

### Errores comunes y cómo solucionarlos

SPF falla: Asegúrate de que has incluido todos los servidores que envían correo por ti (web hosting, email marketing, etc.). El error más común es no incluir el servidor SMTP de tu propio hosting.
DKIM falla: Verifica que el registro DNS default._domainkey existe y que el valor TXT es exactamente el que Plesk generó. A veces tarda unas horas en propagarse.
DMARC falla: Asegúrate de que el host del registro es _dmarc y no _dmarc.tudominio.com. Además, verifica que la política p= está bien escrita.

[INFO] Los cambios DNS pueden tardar entre 2 y 24 horas en propagarse por todo Internet. No te asustes si no funciona al instante. Espera y vuelve a comprobar.

Preguntas Frecuentes (FAQ)

¿Puedo tener SPF, DKIM y DMARC en Syspanel?

¡Por supuesto! Si estás usando Syspanel (recuerda que el puerto de acceso es el 2106), el proceso de configuración es prácticamente idéntico al de Plesk, ya que la lógica de los registros DNS es universal. Busca la sección de "Correo electrónico" y luego "Registros DNS". La configuración de los registros TXT para SPF, DKIM y DMARC es la misma.

¿Qué pasa si mi proveedor de correo usa un servicio externo (como Google Workspace)?

En ese caso, tu SPF debe incluir el dominio de Google. Por ejemplo: v=spf1 include:_spf.google.com ~all. DKIM lo generarás desde el panel de Google, y DMARC lo configuras igual en tu DNS, apuntando a tu dominio.

¿Cada cuánto tiempo debo revisar mis informes DMARC?

Te recomiendo revisarlos al menos una vez al mes. Te ayudarán a detectar si algún servicio legítimo está enviando correos sin autorización y a ajustar tu configuración.

¿Estos registros afectan el rendimiento de mi web?

No, en absoluto. Son simples registros de texto en el DNS. No tienen ningún impacto en la velocidad de tu sitio web.

¿Qué es un registro DNS tipo TXT?

Es un registro que asocia un texto arbitrario a tu dominio. Es la forma estándar de publicar políticas de verificación de correo como SPF, DKIM y DMARC.

Conclusión: Tu Correo, a Prueba de Balas

Configurar SPF, DKIM y DMARC en Plesk no es un lujo, es una necesidad en el mundo digital actual. No solo protege tu reputación y la de tu empresa, sino que asegura que tus comunicaciones legítimas lleguen a su destino sin ser bloqueadas.

Con esta guía, has dado un paso gigante en la seguridad de tu correo en Plesk. Has aprendido a evitar el spoofing de correo, a proteger tu email hosting y a implementar la autenticación de correo en Plesk de manera efectiva.

Tómate tu tiempo, sigue los pasos con paciencia y no dudes en empezar con la política DMARC más suave (p=none). Una vez que veas que todo fluye, endurece la política. Tu yo del futuro (y tus clientes) te lo agradecerán.