Proteger un dominio aparcado o sin email (p=reject)
Por Thomas · CISO virtual · 14 de agosto de 2026
Casi toda organización posee más dominios de los que usa para enviar correo. Marcas secundarias dejadas en barbecho, dominios de protección contra erratas comprados «por si acaso», nombres recuperados durante una adquisición, extensiones defensivas (.net, .co, la versión sin guion): la mayoría de las organizaciones arrastran una constelación de dominios dormidos. Y es precisamente ahí donde se esconde el peligro. Un atacante sabe que un dominio que nadie usa es también un dominio que nadie vigila — un terreno ideal para enviar phishing en su nombre sin desencadenar jamás una alerta. La buena noticia: bloquear un dominio aparcado es más simple, más rápido y más seguro que asegurar un dominio activo. Bastan tres registros DNS, y la política más estricta puede ponerse desde el primer día, sin ninguna subida progresiva.
Por qué un dominio sin email es de todos modos un objetivo
La idea preconcebida más extendida es que un dominio que no envía email no tiene nada que proteger. Es falso, y el malentendido viene de una confusión entre enviar y poder ser suplantado. El campo From: de un email es texto libre: cualquiera puede escribir facturacion@marca-olvidada.es en la cabecera de un mensaje, tenga ese dominio un servidor de correo o no. La ausencia de registro MX no protege absolutamente nada — solo dice que el dominio no recibe correo, no que no se pueda pretender emitirlo.
Sin SPF ni DMARC publicados, un dominio dormido está en realidad abierto de par en par. Un atacante puede expedir miles de mensajes suplantando el dominio, y como ninguna política dice a los destinatarios qué hacer con ellos, una parte pasará. El mecanismo de la amenaza se detalla en la suplantación de email explicada: el principio sigue siendo el mismo para un dominio aparcado, con un detalle más que lo agrava todo. Nadie lee las quejas. En un dominio activo, un pico de suplantación acaba por aflorar — un cliente se inquieta, el soporte recibe reacciones, un buzón de respuestas se desborda. En un dominio que la organización ha olvidado, la campaña puede rodar meses sin que nadie se dé cuenta. El silencio no es una protección; es una ventana de oportunidad.
Los dominios de protección contra erratas merecen una mención aparte. Se compraron justamente porque se parecen al dominio principal — una letra de menos, un guion de más, una extensión vecina. Es exactamente lo que los convierte en soportes de phishing creíbles: la víctima lee deprisa, reconoce un nombre familiar y hace clic. Un dominio defensivo dejado sin política DMARC no defiende nada en absoluto; ofrece al atacante un nombre casi perfecto y la libertad de suplantarlo.
Los tres registros que cierran la puerta
La defensa cabe en tres registros DNS, más un extra. El objetivo es decir al mundo entero, de la manera más categórica posible: este dominio no emite ningún email legítimo, así que hay que rechazar todo lo que diga venir de él. Esta es la lógica de cada uno.
1. Un SPF que no autoriza a nadie
SPF declara qué servidores tienen derecho a enviar por un dominio. Para un dominio que no envía nada, la respuesta es simple: ninguno. El registro se reduce a su forma más estricta.
marca-olvidada.es. TXT "v=spf1 -all"
El -all final significa «rechazar (hardfail) todo remitente no listado» — y como nada está listado antes, esto cubre literalmente a todo el mundo. Es el mecanismo más categórico de SPF; su sentido exacto y los matices entre -all, ~all y ?all se desmenuzan en los mecanismos SPF y el sentido de -all. Aquí, ninguna vacilación posible: un dominio aparcado no tiene ninguna razón de usar un softfail. Lo que hace falta es el hardfail, y desde ahora.
2. Un DMARC en p=reject inmediato
Es el corazón del bloqueo, y es también ahí donde el dominio aparcado revela su ventaja decisiva. En un dominio activo, nunca se pone p=reject de un día para otro: hay que primero observar los informes, identificar cada fuente legítima (el CRM, la herramienta de marketing, la facturación, el helpdesk), asegurarse de que todas están bien alineadas, luego endurecer por peldaños. Saltarse esta etapa haría rechazar correo legítimo — un desastre operativo. Toda esta gimnasia de subida progresiva se describe en alcanzar p=reject sin romper el correo legítimo.
En un dominio que no envía nada, ese riesgo no existe. No hay ningún tráfico legítimo que romper, así que ninguna razón de esperar. Se pone directamente la política máxima.
_dmarc.marca-olvidada.es. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@dominio-principal.es"
Dos detalles cuentan. Primero, el p=reject inmediato: es legítimo, seguro y recomendado precisamente porque el dominio está dormido. Es uno de los raros casos en DMARC donde la prudencia progresiva es inútil — distinguirlo de un dominio activo es importante, porque aplicar la misma timidez aquí solo retrasaría la protección sin ningún beneficio. Después, la etiqueta rua: incluso en un dominio sin uso, conviene mantener un ojo. Volvemos a ello justo después.
3. Un DKIM revocado: la clave pública vacía
SPF y DMARC cubren lo esencial, pero una señal adicional refuerza la postura: publicar un registro DKIM que declara explícitamente que ninguna clave de firma es válida para este dominio. La convención es un registro comodín con una clave pública vacía.
*._domainkey.marca-olvidada.es. TXT "v=DKIM1; p="
El p= sin valor significa «clave pública vacía», es decir «esta clave está revocada / ninguna clave válida aquí». El comodín *._domainkey hace recaer este veredicto sobre cualquier selector que un atacante intentara invocar. En claro, no se trata solo de no publicar clave DKIM: se publica la afirmación activa de que no hay ninguna válida. Es la diferencia entre una puerta sin cerradura y una puerta tapiada.
Extra: el null MX
Por último, si el dominio tampoco recibe email — lo que es el caso de la mayoría de los dominios aparcados — se señala con un registro MX «null», definido por la RFC 7505.
marca-olvidada.es. MX 0 .
El . como destino, con una prioridad 0, dice explícitamente «este dominio no acepta ningún correo». No es una medida anti-usurpación propiamente dicha, pero completa el cuadro: los servidores emisores dejan de intentar entregarle mensajes (incluidos los rebotes de una campaña de usurpación), y reduce el ruido inútil. Es el gesto de higiene que acaba de decir al mundo: aquí no hay email, ni entrante ni saliente.
Por qué mantener la vigilancia rua en un dominio sin uso
A primera vista, poner una dirección rua en un dominio dormido parece superfluo — no envía nada, ¿qué informaría? Precisamente lo contrario de lo que sugiere la intuición. Los informes agregados de un dominio aparcado no remontan su tráfico legítimo (no hay): remontan los intentos de usurpación. Cada línea de un informe RUA sobre un dominio así es, por definición, una dirección IP que ha intentado emitir en su nombre y ha sido rechazada. Es información pura sobre los ataques que apuntan a la marca.
En concreto, el rua se dirige hacia un buzón ya consultado — típicamente la dirección de recogida del dominio principal, para centralizarlo todo en el mismo sitio. Si un día esa dirección empieza a recibir un volumen anormal de informes para el dominio de protección contra erratas, la señal es fuerte: alguien lleva una campaña activa haciéndose pasar por la marca. Sin rua, ese rechazo se produciría de todos modos — pero en el silencio, y nadie sabría que el dominio es objetivo. La recogida de los informes transforma un cerrojo pasivo en un sistema de alerta. La puesta en marcha detallada de esta dirección está cubierta en la base de la protección del correo, que pone las bases de todo el mecanismo.
Una palabra sobre la carga: un dominio aparcado correctamente bloqueado genera pocos informes en tiempo normal, justamente porque no hay tráfico. El volumen solo sube cuando una usurpación arranca — lo que hace el pico tanto más legible. No hace falta un panel de control sofisticado para cien dominios dormidos; hace falta que griten todos hacia el mismo sitio el día en que uno de ellos es atacado.
El caso de los subdominios inactivos
El razonamiento del dominio aparcado se aplica también, a la escala inferior, a los subdominios sin uso. El dominio principal quizá está activo y bien protegido, pero ¿qué pasa con vpn.ejemplo.es, old-crm.ejemplo.es o un subdominio que nunca ha existido en absoluto? A los atacantes les encanta forjar direcciones sobre subdominios plausibles precisamente porque a menudo escapan a la política del dominio raíz.
Dos etiquetas DMARC cubren este terreno. La etiqueta sp fija la política de los subdominios existentes pero no explícitamente configurados — su funcionamiento se detalla en la política de subdominio DMARC. La etiqueta np, más reciente, fija la política de los subdominios inexistentes — los que ningún registro DNS define, y que sin embargo son suplantables. Poner np=reject cierra esta categoría entera de un solo gesto, sin el menor riesgo para el correo legítimo, exactamente como el p=reject de un dominio aparcado. El tema tiene su artículo dedicado: la etiqueta np para bloquear los subdominios inexistentes. En el dominio raíz de una organización, una política completa se parece por tanto a esto.
_dmarc.ejemplo.es. TXT "v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:dmarc@ejemplo.es"
Este p + sp + np en reject bloquea el dominio, sus subdominios activos y sus subdominios fantasma de un mismo movimiento. Para un dominio aparcado que de todos modos no tiene ningún subdominio legítimo, se puede aplicar la misma lógica por exceso de prudencia: nada emite, así que todo rechaza.
El resumen: un dominio aparcado bloqueado por entero
Pongamos los cuatro registros uno tras otro para un dominio dormido tipo, digamos mi-marca-secundaria.com, que ni envía ni recibe email.
mi-marca-secundaria.com. TXT "v=spf1 -all"
_dmarc.mi-marca-secundaria.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@dominio-principal.es"
*._domainkey.mi-marca-secundaria.com. TXT "v=DKIM1; p="
mi-marca-secundaria.com. MX 0 .
Cuatro líneas, y el dominio pasa de «abierto de par en par» a «tapiado y vigilado». SPF dice que ningún servidor tiene derecho a enviar; DMARC ordena el rechazo de todo lo que pretenda lo contrario y repatría los intentos; DKIM afirma que ninguna firma es válida; el null MX cierra la recepción. No hay nada que mantener a diario: ninguna fuente que alinear, ninguna subida que pilotar. Es una operación «poner y olvidar», con la salvedad de que el buzón rua avisará si el dominio se vuelve de repente interesante para un atacante. Ahora bien, esas cuatro líneas valen lo que vale la zona que las sostiene: quien logre colar en ella registros falsos sortea el conjunto sin necesidad de romperlo, y esa última puerta la cierra la firma DNSSEC de la zona.
El error que no hay que cometer: tratar un aparcado como un activo
La única verdadera trampa es la timidez mal colocada. Algunos equipos, por reflejo, aplican a sus dominios dormidos la misma prudencia que a su dominio de producción: ponen p=none, se prometen «observar primero», y dejan el dominio en observación sola durante meses. Es un error de razonamiento. p=none en un dominio activo es una etapa de prudencia legítima el tiempo de identificar las fuentes; p=none en un dominio aparcado no protege estrictamente nada, puesto que no hay ninguna fuente que descubrir. Documenta la usurpación en lugar de bloquearla, sin ningún beneficio.
La distinción es fundamental, y merece la pena interiorizarla: la subida progresiva existe únicamente para no romper tráfico legítimo. Ahí donde no hay tráfico legítimo, no hay razón de subir progresivamente. Un dominio aparcado merece p=reject desde el primer minuto, punto final. Comprender este principio es también comprender mejor por qué un dominio activo, en cambio, merece paciencia — ambos casos son las dos caras de una misma lógica de alineación, que se puede recolocar en el conjunto vía los fundamentos, explicados sin jerga y el pilar DMARC.
Un último matiz sobre los dominios que se piensa activar algún día. Si una marca secundaria hoy dormida debe servir para enviar correo dentro de seis meses, conviene bloquearla de todos modos en p=reject ahora. El día de su activación se seguirá el procedimiento normal de puesta en servicio — publicar SPF con sus verdaderos servidores, activar DKIM con una clave real, luego pilotar la subida. Nada impide reabrir una puerta tapiada; en cambio, una puerta dejada abierta «porque quizá la usaremos» es una invitación permanente. Bloquear por defecto, abrir a demanda.
Verificar los dominios dormidos antes de que un atacante los encuentre
El primer reflejo es gratuito y lleva unos segundos. Basta con pasar cada dominio — activos como dormidos — por nuestro analizador DMARC gratuito para saber de un vistazo cuáles están ya bloqueados y cuáles siguen abiertos de par en par. El número de dominios defensivos que no tienen, hoy, ninguna política en absoluto suele sorprender. Para situar la postura global frente al sector, el Observatorio DMARC muestra hasta qué punto la usurpación de los dominios secundarios sigue siendo un punto ciego extendido.
Cartografiar todos los dominios de una organización, distinguir los activos de los dormidos, generar el DNS correcto para cada uno y vigilar los informes de usurpación que remontan de unos y otros: es exactamente lo que Thomas, el CISO virtual, automatiza. Nombra cada fuente en los dominios activos, propone el cerrojo completo en los dominios aparcados, y alerta cuando uno de ellos se vuelve de repente un objetivo. Analizar un dominio gratis · explorar el Observatorio · empezar con Thomas.
Guías relacionadas
- DNSSEC y DMARC: el cimiento bajo la autenticación
SPF, DKIM y DMARC viven en el DNS. Sin DNSSEC, envenenar la resolución basta para servir un SPF permisivo o borrar la política. Lo que la firma protege.
- BIMI sin VMC: ¿es posible (y es buena idea)?
BIMI sin VMC: publicar el registro es posible, pero Gmail y Apple exigen certificado. Lo que se muestra realmente sin él y la alternativa del CMC.
- Certificado VMC para BIMI: precio, requisitos y cómo obtenerlo
El VMC vincula un logotipo con una marca registrada y desbloquea su visualización en Gmail: coste real, requisitos y procedimiento de obtención.
Sobre el autor
Thomas — Thomas es el CISO virtual de DMARC.com: un copiloto especializado en la autenticación de correo que acompaña a las organizaciones de p=none hasta p=reject, sin romper su correo. Sus guías se basan en los datos reales del Observatorio DMARC y de los informes RUA analizados por la plataforma.