Hay una creencia muy extendida entre administradores de correo: “si tengo DMARC en reject, nadie puede falsificar mi dominio”. Suena bien, se repite en foros y en guías de configuración, y da una sensación de seguridad que no se corresponde con la realidad. DMARC en reject frena la suplantación del dominio en el sobre SMTP, pero no toca el nombre visible que aparece en la bandeja de entrada. Ese hueco es el que explotan la mayoría de campañas de phishing que vemos hoy.
Lo que DMARC protege de verdad y lo que deja al descubierto
DMARC se apoya en SPF y DKIM para decidir si un mensaje puede usar tu dominio en el campo From. Cuando publicas una política p=reject, los receptores que la respetan rechazan cualquier correo que no pase la alineación. Eso significa que un atacante no puede enviar desde tu-dominio.com sin controlar tus servidores o tus claves DKIM. Ahí DMARC es contundente.
El problema es que DMARC solo evalúa el dominio, no el nombre que se muestra al usuario. Un atacante puede registrar tu-dominio-seguridad.com, o directamente usar un dominio que no tenga DMARC, y configurar el nombre visible como “Soporte de tu-dominio.com”. La bandeja de entrada muestra ese nombre en grande y la dirección real en pequeño, a veces oculta tras un clic. El usuario ve “Soporte de tu-dominio.com” y confía. El filtro DMARC no tiene nada que evaluar porque el dominio atacante no es el tuyo.
El spoofing del nombre visible sigue funcionando
Este es el mito que más daño hace. El nombre visible, o display name, es texto libre en la cabecera From. Cualquiera puede escribir lo que quiera ahí. Si un empleado recibe un correo con el nombre “Dirección financiera” y una dirección real que no reconoce, y solo mira el nombre, el phishing funciona. Y funciona incluso si tu dominio tiene DMARC en reject, SPF estricto y DKIM bien configurado.
La única defensa real aquí es educar al usuario para que mire la dirección completa, no solo el nombre. En clientes como Outlook o Thunderbird se puede forzar que la dirección aparezca siempre visible junto al nombre, o mostrar una advertencia cuando el remitente es externo. Son ajustes pequeños que cierran el hueco que DMARC deja abierto.
La cadena completa: SPF, DKIM, DMARC y lo que no cubren
SPF, DKIM y DMARC rigen el correo saliente y permiten que el receptor verifique que el mensaje salió de donde dice. SPF publica qué IPs pueden enviar por tu dominio, DKIM firma criptográficamente el mensaje y DMARC alinea ambos con el dominio del From. Cuando los tres están bien puestos, la suplantación directa de tu dominio es prácticamente imposible.
Lo que no cubren es todo lo que ocurre fuera del dominio. Un atacante puede usar un dominio parecido (typosquatting), un dominio genérico o incluso una cuenta de correo gratuita. En ninguno de esos casos tu DMARC interviene, porque el dominio del atacante no es el tuyo. Y el nombre visible puede imitar el tuyo sin restricción.
Hay otra pieza que muchos olvidan: el correo catch-all. Un dominio con catch-all acepta cualquier mensaje enviado a un dominio, aunque la dirección no exista. guía de correo catch-all explica esto con más detalle. Eso es cómodo para no perder correo, pero también convierte tu dominio en un imán para spam y para intentos de suplantación que buscan respuestas automáticas. Si tienes catch-all activado sin filtros, estás regalando superficie de ataque.
- SPF: define las IPs autorizadas a enviar por tu dominio. Sin alineación con el From, no sirve para DMARC.
- DKIM: firma el mensaje. Si la clave privada se filtra, el atacante puede firmar como tú.
- DMARC: une SPF y DKIM con el dominio del From. En reject, bloquea la suplantación directa.
- Nombre visible: texto libre. Ninguna política lo controla. Solo la educación del usuario y los ajustes del cliente ayudan.
- Catch-all: acepta correo a direcciones inexistentes. Útil, pero amplía la superficie de entrada.
La configuración de DNS no tiene ningún tipo de registro para activar catch-all. Ese ajuste vive en el servidor de correo, no en la zona DNS. Los registros MX solo indican qué hosts aceptan correo para el dominio, con su prioridad. El catch-all es una regla del MTA: Postfix, Exim o el panel de hosting que uses. Confundir ambos planos lleva a configuraciones a medias que no protegen nada.
Cómo se relaciona el catch-all con la suplantación y qué hacer
Un buzón catch-all se recoge con un solo login POP3 o IMAP, lo que simplifica la gestión. Pero ese buzón recibe todo lo que va a direcciones no existentes: spam, intentos de phishing, correos de sondeo. Si el atacante envía a cualquier-cosa@tu-dominio.com y recibe una respuesta automática o un rebote distinto, ya sabe que el dominio existe y que el catch-all está activo. Es información gratis para él.
La regla catch-all se aplica después de que falla la búsqueda normal de dirección. El servidor de correo responde 550 no such user cuando no hay coincidencia y no hay catch-all. Si lo hay, acepta el mensaje y lo deposita en el buzón comodín. Ese comportamiento es el que conviene revisar: ¿realmente necesitas aceptar correo a direcciones que no existen? En muchos casos, no.
El correo catch-all se diferencia de alias, reenvío y correo desechable. Un alias apunta a una dirección concreta, un reenvío redirige a otro buzón y el correo desechable es temporal. El catch-all es una red de seguridad que atrapa todo lo demás. Útil para dominios personales con muchas variantes, peligroso en dominios corporativos donde cada dirección debería estar controlada.
Para cerrar el círculo, revisa estos puntos en tu servidor:
- Publica DMARC en reject con
p=rejectysp=rejectpara subdominios. Verifica con informes agregados antes de subir la política. - Revisa SPF: una sola entrada, sin
+all, con-allal final. Si superas los 10 lookups, aplana o usa un servicio dedicado. - Rota las claves DKIM si sospechas filtración. Una clave comprometida anula todo lo demás.
- Desactiva el catch-all en dominios corporativos o fíltralo con reglas estrictas y revisión humana.
- Configura el cliente de correo para mostrar siempre la dirección real junto al nombre visible.
- Forma a los usuarios: el nombre visible no es una prueba de identidad. La dirección sí.
Si gestionas varios dominios, herramientas como allmail.one permiten revisar la configuración de correo entrante y saliente, detectar catch-all activos y comprobar que SPF, DKIM y DMARC están alineados. No sustituye la formación del usuario, pero cierra la parte técnica del problema.
El resumen práctico: DMARC en reject es necesario, no suficiente. Protege tu dominio del spoofing directo, pero no evita que alguien use tu nombre visible en un dominio ajeno. Revisa el catch-all, muestra siempre la dirección real en el cliente de correo y enseña a tu gente a mirar dos veces antes de confiar en un remitente. La configuración técnica y el hábito del usuario tienen que ir juntos; con una sola de las dos, el phisher sigue teniendo puerta abierta.