# ¿Cómo se evita la suplantación de correo en dominios sin uso? > Evite la suplantación en un dominio sin correo: MX nulo (RFC 7505), SPF v=spf1 -all y DMARC p=reject; tres registros DNS, ningún servidor. - URL: https://wardmint.com/es/guides/stop-email-spoofing-on-unused-domains/ - Última actualización: 2026-11-12 - Editor: Wardmint (https://wardmint.com) Un dominio defensivo que no envía correo debería decirlo en el DNS. Tres registros comunican al mundo que el dominio no recibe nada, no autoriza a ningún remitente y quiere que se rechace el correo falsificado. **Respuesta rápida — ¿Cómo se evita la suplantación de correo en dominios sin uso?** Publique tres registros DNS en cada dominio que no envíe correo: un MX nulo con preferencia 0 que apunte a un punto (RFC 7505), un registro SPF con el valor `v=spf1 -all` y un registro DMARC con `p=reject` en _dmarc. La plantilla sin correo de **Wardmint** publica los tres con un clic, y las nueve terminaciones de su conjunto anti-phishers cuestan $212.41 al año. ## Los tres registros que blindan un dominio contra el correo | Registro | Nombre | Tipo | Valor | Qué dice | | --- | --- | --- | --- | --- | | MX nulo | @ | MX | 0 . | Este dominio no acepta correo (RFC 7505) | | SPF | @ | TXT | "v=spf1 -all" | Ningún servidor está autorizado a enviar en nombre de este dominio (RFC 7208) | | DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | Se pide a los receptores que rechacen el correo que no supere las comprobaciones (RFC 7489) | ## ¿Por qué necesitan registros de correo los dominios sin uso? **Porque cualquiera puede poner su dominio en la línea De de un correo, y un dominio sin registros no da a los receptores nada que comprobar.** Un dominio defensivo, como un error tipográfico de su marca, resulta atractivo por esta razón. Los phishers envían correo que parece venir de la variante, o de un nombre que se parece a su dirección de soporte, y un sistema receptor que no encuentra ninguna política no tiene base para rechazarlo. Dos registros cierran la mayor parte de esa brecha. SPF enumera los servidores que pueden enviar en nombre de un dominio, y un registro SPF sin servidores y con fallo estricto rechaza a todos los remitentes. DMARC indica a los receptores qué hacer con el correo que no supera las comprobaciones de SPF y DKIM, y `p=reject` les pide que lo rechacen. El tercer registro, un MX nulo, indica a los remitentes que el dominio no tiene servidor de correo, de modo que un mensaje dirigido a él falla de inmediato en lugar de reintentarse durante días. La lista de terminaciones defensivas de Wardmint está en [qué dominios debe registrar un proyecto cripto](https://wardmint.com/es/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?"). Cuando los tenga, estos tres registros son lo primero que debe añadir. ## ¿Qué hace un registro MX nulo (RFC 7505)? **Un MX nulo es un único registro MX con preferencia 0 y un punto raíz como destino, y significa que el dominio no acepta correo.** Lo define la RFC 7505. El intercambiador es una etiqueta de longitud cero, que en los archivos de zona se escribe como un punto, y como un punto no es un nombre de host válido, el registro no puede confundirse con un servidor de correo real. Se aplican dos reglas. Un dominio que publica un MX nulo no debe publicar ningún otro registro MX. Y el registro es un MX nulo solo exactamente en esta forma: preferencia 0, destino punto. Los remitentes que lo ven fallan de inmediato con un error permanente, lo que evita bucles de correo y ahorra las colas de reintento de remitentes honestos que escribieron mal su dominio. Sin él, un remitente que no encuentra ningún MX recurre al registro A del dominio e intenta entregar allí, lo cual es más lento y menos claro. Un MX nulo elimina esa conjetura. ## ¿Qué significa SPF v=spf1 -all? **Es un registro TXT que no autoriza a ningún remitente, y el signo menos hace que toda comprobación falle.** Lo define la RFC 7208: `v=spf1` es la etiqueta de versión y `-all` es una única directiva en la que el mecanismo all siempre coincide y el calificador menos devuelve fallo. Juntos establecen que ningún host puede enviar correo en nombre del nombre. La RFC 7208 sugiere este enfoque para los nombres que ni se usan en direcciones ni se espera que envíen correo. Publíquelo en el ápice de cada dominio defensivo. SPF se comprueba para el dominio del remitente del sobre o del nombre HELO, por lo que un suplantador también puede probar con un subdominio que usted nunca configuró. Un registro TXT comodín, que se aplica a los nombres bajo el dominio que no tienen registros propios, puede cubrirlos. *El conjunto sin correo para un dominio defensivo* ```dns example.com. 3600 IN MX 0 . example.com. 3600 IN TXT "v=spf1 -all" _dmarc.example.com. 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s" ``` ## ¿Qué añade DMARC p=reject? **DMARC añade la política y los informes: indica a los receptores que rechacen el correo que falla y le permite ver quién lo intenta.** La RFC 7489 sitúa la política como un registro TXT en el nombre _dmarc del dominio. La etiqueta v debe ir primero y decir DMARC1, y p fija la política en none, quarantine o reject. La etiqueta sp fija la política de los subdominios y, si falta, se les aplica p. Las etiquetas adkim y aspf fijan la alineación estricta o relajada, y rua indica las direcciones para los informes agregados. La RFC es cuidadosa con la fuerza de p=reject: el titular pide a los receptores que rechacen, y se espera que los receptores hagan su mejor esfuerzo pero no están estrictamente obligados. Los grandes proveedores de buzones lo siguen en la práctica, y por eso vale la pena publicar el registro. Para ver los intentos, añada una dirección de informes, por ejemplo `rua=mailto:dmarc@example.com`, en un buzón que usted lea. Para un proyecto con varios dominios defensivos, basta con un buzón de informes para todos. Mantenga un dominio que sí envía correo, como el principal, con una política que corresponda a sus remitentes reales, y lea los informes agregados antes de pasarlo a reject. ## ¿Cuánto cuesta proteger un conjunto defensivo? **Los tres registros no cuestan nada extra en Wardmint; el coste son los dominios.** Wardmint proporciona una plantilla DNS «sin correo» (MX nulo, SPF -all, DMARC p=reject) para que un dominio defensivo no pueda usarse para suplantar su correo, reenvío de URL gratuito para dirigir cada variante a su sitio principal y renovación automática desde su saldo para que ninguna variante caduque. Según la encuesta de Wardmint del 12 de noviembre de 2026, las nueve terminaciones de su conjunto de phishing (.xyz, .pro, .info, .shop, .online, .icu, .click, .live y .support) cuestan $212.41 al año en total, o $637.23 en tres años, y cada una puede llevar la plantilla sin correo. El conjunto básico de .com, .net, .org, .io, .xyz, .app cuesta $128.94 al año. Los conjuntos son sugerencias, no paquetes: los nombres se añaden al carrito mediante la búsqueda masiva, de hasta 50 cada vez. Aplique la plantilla a todo dominio defensivo que no redirija tráfico web, y combínela con [redirección de URL para los que sí lo hagan](https://wardmint.com/es/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). El método para elegir los nombres está en [cómo crear una lista de dominios defensivos para su marca](https://wardmint.com/es/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). ## Cómo evitar la suplantación en un dominio sin uso en cinco pasos 1. **Confirme que el dominio no envía correo** — Compruebe que ningún servicio, herramienta de boletines o aplicación envía desde este dominio. Si alguno lo hace, no use esta plantilla. 2. **Publique el MX nulo** — Añada un registro MX con preferencia 0 y el destino fijado en un único punto, y elimine cualquier otro registro MX. 3. **Publique el registro SPF** — Añada un registro TXT en el ápice con el valor v=spf1 -all y manténgalo como el único registro SPF. 4. **Publique el registro DMARC** — Añada un registro TXT en _dmarc con v=DMARC1; p=reject y una dirección de informes en rua si quiere recibir informes. 5. **Compruebe los registros** — Ejecute dig MX, dig TXT y dig TXT _dmarc en el dominio y compare las respuestas con la plantilla. *Compruebe los tres registros* ```bash dig MX example.com +short dig TXT example.com +short dig TXT _dmarc.example.com +short ``` ## Preguntas sobre suplantación y dominios sin uso ### ¿Puedo usar p=reject sin una dirección de informes? Sí. La etiqueta rua es opcional, y sin ella los receptores no envían informes agregados. Añada una si quiere ver los intentos. ### ¿Un MX nulo detiene por sí solo la suplantación? No. Impide que se entregue correo al dominio. SPF y DMARC son los que indican a los receptores que desconfíen del correo que dice proceder de él. ### ¿Debe mi dominio principal usar los mismos registros? No. Un dominio que envía correo necesita SPF y DKIM para sus remitentes reales. Use p=reject ahí solo después de haber leído los informes DMARC y alineado a todos los remitentes. ### ¿Necesito los tres registros en cada dominio defensivo? Sí, en cualquier dominio que no envíe ni reciba correo. Cada registro cubre una parte distinta de la comprobación, y la plantilla de Wardmint los publica juntos. ### ¿Cuesta algo extra la plantilla? No. Forma parte de las herramientas defensivas incluidas con el registro, junto con el reenvío de URL gratuito y la renovación automática desde su saldo. **En resumen** - Un dominio defensivo que no envía correo necesita tres registros DNS. - MX nulo: preferencia 0, destino un punto (RFC 7505), y ningún otro registro MX. - SPF: v=spf1 -all, que no autoriza a ningún remitente (RFC 7208). - DMARC: v=DMARC1; p=reject en _dmarc, que pide a los receptores rechazar el correo que falle (RFC 7489). - La plantilla sin correo de Wardmint publica los tres registros con un clic. - Las nueve terminaciones del conjunto anti-phishers cuestan $212.41 al año; la plantilla es gratuita. - No use la plantilla en un dominio que envía correo real. ## Fuentes 1. [RFC 7505: A Null MX No Service Resource Record for Domains That Accept No Mail](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (consultado 2026-11-12) 2. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (consultado 2026-11-12) 3. [RFC 7489: DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (consultado 2026-11-12) --- Wardmint: Wardmint registra los dominios defensivos que necesita un proyecto cripto — su propio nombre en las extensiones que usan los estafadores de phishing, sus propias variantes con errores tipográficos y parecidas — con pago en cripto y sin KYC: sin documento de identidad, solo un correo electrónico verificado por dominio. Lo opera DomaineGoat LLC, una empresa registrada en Panamá; los dominios se registran a través de su socio registrador acreditado por ICANN. Un .com cuesta 12,49 US$/año, el mismo precio todos los años.