SpoofhoundDMARC · TLS-RPT · BIMI · SPF · MTA-STS
Sepa quién envía correos en nombre de su dominio.
Spoofhound convierte los informes de DMARC y TLS que sus dominios ya generan en una imagen clara: quién envía de forma legítima, quién le suplanta y exactamente qué hacer a continuación — hasta la aplicación total.
Sin tarjeta, sin agentes, nada que instalar — solo DNS.
Spoofhound · Panel de ejemplo
suempresa.es
Mensajes, 30 días
48.210
Superan DMARC
98,4 %
Intentos de suplantación
214
- 09:41 Servidor desconocido enviando como suempresa.es — 214 mensajes que no superan DMARC Suplantación
- 09:12 Nuevo remitente reconocido: Mailchimp — legítimo y superando DMARC Remitente
- 08:30 El 98 % de su correo supera DMARC — listo para pasar a p=reject Aplicación
- 07:55 Un servidor receptor no pudo establecer el cifrado — 12 mensajes TLS
Spoofhound le evita conversaciones como esta.
Su cliente
Usted
Su cliente
Usted
¿No entiende la suplantación ni la amenaza que supone?
Lea nuestra explicación clara y sin jerga →El coste de no hacer nada
Deja tu dominio abierto y fallan dos cosas.
Sin autenticación de correo aplicada, los delincuentes pueden enviar correo en tu nombre y tu correo legítimo inspira menos confianza. Una cosa daña tu reputación; la otra, cada correo que envías.
Tu nombre en el fraude de otro
Facturas falsas, peticiones de «nuevos datos bancarios» y phishing enviados desde tu dominio exacto parecen auténticos, porque para el destinatario lo son. Cuando un cliente o proveedor cae, fue tu empresa quien le escribió, y esa confianza tarda en recuperarse.
- ✗Clientes y proveedores que pierden dinero por correos que llegaron «de ti»
- ✗Tu marca asociada a campañas de phishing que nunca enviaste
- ✗Preguntas incómodas después por parte de clientes, aseguradoras y socios
Daño a tu reputación
Tu correo real acaba en spam
Google, Yahoo y Microsoft exigen ya a los remitentes masivos que publiquen SPF, DKIM y DMARC. En Google y Microsoft, eso incluye a cualquiera que envíe más de 5.000 mensajes al día a sus usuarios. El correo que no cumple va a spam o se rechaza directamente: Gmail pasó de los avisos a los rechazos en noviembre de 2025. Los remitentes pequeños tampoco se libran. El correo sin autenticar despierta más sospechas en todas partes, y las falsificaciones enviadas en tu nombre enseñan a los proveedores de correo a desconfiar de tu dominio.
- ✗Presupuestos, facturas y restablecimientos de contraseña que nunca llegan a la bandeja de entrada
- ✗Rebotes de Gmail y Outlook que dicen que tu dominio no superó la autenticación
- ✗Sin logotipo junto a tu correo: BIMI necesita una política DMARC aplicada
La entregabilidad de tu correo se reduce
Spoofhound lleva tu dominio a una política DMARC aplicada paso a paso, para bloquear a los suplantadores sin que tu propio correo deje de llegar.
Lo que Spoofhound detiene
Correo falso en su nombre, y los huecos que lo dejan pasar.
En cuanto su dominio aplica DMARC, el correo que solo finge venir de usted se rechaza. Spoofhound le lleva hasta ahí con seguridad y luego vigila.
- ✓Facturas falsas desde su dominio
- ✓Estafas de «nuevos datos bancarios»
- ✓Correos que se hacen pasar por su jefe
- ✓Phishing a sus clientes en su nombre
- ✓Spam enviado en su nombre
- ✓Servicios desconocidos que envían como usted
- ✓Su correo real que falla las comprobaciones y acaba en spam
- ✓Correo que le envían sin cifrar
Lo que no detiene: dominios parecidos y buzones pirateados. La página honesta explica qué añadir para eso.
Nuestra investigación
La mayoría de las empresas pueden ser suplantadas hoy.
Hemos comprobado más de 726.000 dominios de empresas que reciben correo, en 28 países. Esta es la proporción sin protección DMARC — cualquiera puede enviar un correo que diga venir de ellos.
94 %
de los dominios surcoreanos pueden ser suplantados por correo
4.384 dominios comprobados
Leer el informe de Corea del Sur →
89 %
de los dominios japoneses pueden ser suplantados por correo
25.956 dominios comprobados
Leer el informe de Japón →
87 %
de los dominios italianos pueden ser suplantados por correo
36.842 dominios comprobados
Leer el informe de Italia →
84 %
de los dominios franceses pueden ser suplantados por correo
71.101 dominios comprobados
Leer el informe de Francia →
83 %
de los dominios finlandeses pueden ser suplantados por correo
9.153 dominios comprobados
Leer el informe de Finlandia →
83 %
de los dominios nigerianos pueden ser suplantados por correo
879 dominios comprobados
Leer el informe de Nigeria →
81 %
de los dominios de empresas estadounidenses pueden ser suplantados por correo
113.484 dominios comprobados
Leer el informe de Estados Unidos →
81 %
de los dominios argentinos pueden ser suplantados por correo
6.683 dominios comprobados
Leer el informe de Argentina →
81 %
de los dominios vietnamitas pueden ser suplantados por correo
3.297 dominios comprobados
Leer el informe de Vietnam →
79 %
de los dominios taiwaneses pueden ser suplantados por correo
3.171 dominios comprobados
Leer el informe de Taiwán →
77 %
de los dominios canadienses pueden ser suplantados por correo
26.451 dominios comprobados
Leer el informe de Canadá →
76 %
de los dominios del Reino Unido pueden ser suplantados por correo
55.033 dominios comprobados
Leer el informe del Reino Unido →
76 %
de los dominios tailandeses pueden ser suplantados por correo
2.085 dominios comprobados
Leer el informe de Tailandia →
76 %
de los dominios griegos pueden ser suplantados por correo
7.366 dominios comprobados
Leer el informe de Grecia →
75 %
de los dominios indios pueden ser suplantados por correo
12.398 dominios comprobados
Leer el informe de India →
75 %
de los dominios españoles pueden ser suplantados por correo
24.449 dominios comprobados
Leer el informe de España →
75 %
de los dominios brasileños pueden ser suplantados por correo
24.186 dominios comprobados
Leer el informe de Brasil →
74 %
de los dominios suecos pueden ser suplantados por correo
8.856 dominios comprobados
Leer el informe de Suecia →
73 %
de los dominios islandeses pueden ser suplantados por correo
843 dominios comprobados
Leer el informe de Islandia →
73 %
de los dominios alemanes pueden ser suplantados por correo
199.513 dominios comprobados
Leer el informe de Alemania →
71 %
de los dominios australianos pueden ser suplantados por correo
19.343 dominios comprobados
Leer el informe de Australia →
69 %
de los dominios neerlandeses pueden ser suplantados por correo
43.453 dominios comprobados
Leer el informe de los Países Bajos →
69 %
de los dominios turcos pueden ser suplantados por correo
5.646 dominios comprobados
Leer el informe de Turquía →
66 %
de los dominios sudafricanos pueden ser suplantados por correo
4.324 dominios comprobados
Leer el informe de Sudáfrica →
62 %
de los dominios singapurenses pueden ser suplantados por correo
1.504 dominios comprobados
Leer el informe de Singapur →
61 %
de los dominios daneses pueden ser suplantados por correo
9.946 dominios comprobados
Leer el informe de Dinamarca →
60 %
de los dominios noruegos pueden ser suplantados por correo
5.365 dominios comprobados
Leer el informe de Noruega →
54 %
de los dominios saudíes pueden ser suplantados por correo — el mejor resultado hasta ahora
928 dominios comprobados
Leer el informe de Arabia Saudí →
Cualquiera puede poner su dominio en el campo «De».
Hasta que DMARC no se aplica, los receptores entregan correos que simplemente afirman ser usted. Los informes que lo revelan — informes agregados de DMARC, forenses y de TLS SMTP — llegan como XML y JSON comprimidos que nadie lee. Spoofhound los lee por usted, cada día, y solo habla cuando algo requiere una decisión.
Lo que revelan los informes
- ✓ Remitentes legítimos que superan la autenticación
- → Reenviadores que rompen SPF en tránsito (normal, explicado)
- ✗ Fuentes desconocidas que suplantan su dominio ahora mismo
- ✗ Servidores de correo que fallan en silencio al negociar TLS
Defiéndase del fraude del CEO (BEC)
Comprenda el papel de Spoofhound en la lucha contra el fraude del correo corporativo
La aplicación de DMARC cierra la vía de la falsificación del dominio exacto — la más barata para un atacante y la única que puede cerrar por completo — y le muestra los intentos de suplantación a medida que ocurren. La página es honesta sobre qué detiene y qué no, y qué conviene añadir encima.
Lea la página honestaTodo en un solo lugar
Monitorización que le dice qué hacer,
no solo qué pasó.
Panel orientado al triaje
Se abre con una cola de asuntos que requieren atención — no un muro de gráficos. Cada alarma incluye una línea de procedimiento: qué significa y qué hacer al respecto.
Detección de suplantación
Las nuevas fuentes de envío se perfilan automáticamente; una IP totalmente nueva que falla la alineación — la firma clásica de la suplantación — le avisa el mismo día.
Asistente de aplicación
El camino codificado de p=none a p=reject: un umbral del 98 % de aprobados alineados en una ventana móvil, más una comprobación de «todas las fuentes explicadas», con una recomendación por etapas.
Puntuaciones de salud TLS-RPT
Cada dominio calificado de la A–F en la seguridad de su transporte de correo: el modo MTA-STS tal como lo observaron los receptores, la evidencia DANE y las tasas de fallo con niveles de gravedad.
BIMI & MTA-STS alojados
Alojamos los archivos que los remitentes y proveedores de correo realmente descargan — su logotipo BIMI, validado con el perfil SVG, y su política MTA-STS, con su certificado emitido y renovado por usted. Usted publica un único registro DNS.
Alertas con un ciclo de vida
Alarma → recordatorio → resuelto, con supresión para que un problema conocido no le avise a diario — más un resumen de los lunes de la semana que de verdad se lee bien.
Remitentes y DKIM, inventariados
Cada identidad de envío vista en sus informes, clasificada como legítima, reenviador, mal configurada o maliciosa — y cada selector DKIM que firma su correo, para distinguir su propia firma de la de un proveedor.
Dominios solo de envío, entendidos
Un dominio sin MX — o con un MX nulo — nunca recibe reproches sobre TLS-RPT o MTA-STS, que no pueden aplicarse. El flujo de correo se muestra por dominio, de modo que un nombre aparcado o solo de envío se juzga por lo que realmente hace.
Comprobaciones de seguridad del correo
Cada dominio verificado se comprueba y puntúa a diario, con una alerta en cuanto baja la puntuación o cambian sus servidores de nombres, recordatorios de renovación desde 60 días antes de que caduque un dominio, y un correo de revisión mensual. En todos los planes, sin coste extra.
Un inicio de sesión digno de confianza
Passkeys — huella, rostro o PIN — más aplicaciones de autenticación, sin contraseña que suplantar o reutilizar. Los administradores de la cuenta pueden ver y gestionar los métodos de inicio de sesión de sus miembros.
El fraude del correo corporativo, con honestidad
La aplicación de DMARC cierra la vía de la falsificación del dominio exacto — la más barata para un atacante y la única que puede cerrar por completo — y le muestra los intentos de suplantación a medida que ocurren. Qué detiene y qué no: la página honesta.
Análisis con IA, use su propio modelo
Un plan de acción priorizado para cada dominio, redactado por el modelo de IA que elija — con su propia clave y su propio acuerdo de proveedor. Cada afirmación debe citar los hechos que el propio Spoofhound ha calculado, y Spoofhound nunca toca el DNS. Los modelos con los que funciona.
Cómo funciona
En marcha con tres registros DNS.
Elija una región, verifique su dominio
Su cuenta se crea en la jurisdicción que elija. Después publique un registro TXT para demostrar la propiedad — un dominio pertenece a una sola cuenta, siempre.
Dirija sus informes hacia nosotros
La página de Configuración muestra sus registros DMARC y TLS-RPT actuales con las direcciones de informe de su región añadidas — copie, pegue, listo. Convive sin problemas con cualquier procesador de informes existente.
Obtenga respuestas, no XML
Los informes suelen empezar en un día. Los paneles se llenan, las alarmas vigilan y el asistente le dice cuándo está listo para aplicar.
¿Ya tiene historial con otro procesador? Suba sus antiguos correos y archivos de informes — Spoofhound reconstruye meses de datos en minutos.
Análisis con IA · use su propio modelo
Un plan de acción, redactado por el modelo que usted elija.
Actívelo por dominio y Spoofhound convierte todo lo que ya sabe — sus informes, alarmas, registros DNS y puntuaciones — en un plan priorizado: qué hacer, en qué orden y qué parece alarmante pero se puede ignorar sin riesgo. Con su propia cuenta y clave de proveedor de IA, bajo su propio acuerdo y límites de gasto — o sin clave alguna.
Anthropic
Claude Sonnet 5 y Claude Haiku 4.5.
OpenAI
GPT-5.6 Terra y GPT-5.6 Luna.
Gemini 3.7 Flash y Gemini 3.5 Flash-Lite.
Kimi
Kimi K2.6 y Kimi K2.5, de Moonshot AI.
OpenRouter
Una sola clave, todo su catálogo — acceso a más de 500 modelos de todos los grandes laboratorios.
Integrado, sin clave necesaria
Modelos abiertos que corren en la propia infraestructura de IA de Cloudflare — GPT-OSS 120B y Llama 3.3 70B — si prefiere no aportar ninguna cuenta de proveedor.
Barreras, no intuiciones
- ✓ Cada afirmación debe citar hechos que el propio Spoofhound ha calculado — todo lo que el modelo no pueda respaldar se descarta antes de que usted lo vea.
- ✓ Cada registro DNS propuesto se vuelve a comprobar con los mismos analizadores en los que confía el resto del producto, antes de mostrarse.
- ✓ Spoofhound nunca cambia el DNS. Usted obtiene un registro copiable, nada más.
- ✓ Su clave se almacena cifrada y de solo escritura — se muestra por sus cuatro últimos caracteres, nunca legible de nuevo.
- ✓ El reanálisis nocturno omite los dominios donde nada cambió, para no gastar dinero cuando no hay novedades. Cada ejecución registra lo que costó.
Dónde viven sus datos
Elija su jurisdicción. Se queda ahí.
Spoofhound funciona como despliegues separados y autónomos — uno por jurisdicción. Su cuenta reside en uno solo de ellos, y sus informes nunca salen de él.
Separado, no particionado
Cada jurisdicción es su propio despliegue, con su propia base de datos, su propia dirección de panel y su propia bandeja de informes. No es un solo sistema con una columna de país — nada se comparte entre ellos y nada se replica.
Sin directorio central, por diseño
No existe deliberadamente ningún índice global de quién está alojado dónde. Crear uno significaría guardar un registro de cada cliente de la UE fuera de la UE — justo lo que la separación existe para impedir — así que cuando inicia sesión, usted nos dice su región en lugar de que nosotros le busquemos.
Disponible ahora
EU1 · Unión Europea
Para dominios cuyos datos de informe deben permanecer dentro de la UE.
ROW1 · Resto del mundo
Para todos los que no tienen requisito de residencia en la UE.
KSA1 · Arabia Saudí
Una instancia saudí dedicada, con su propia base de datos y almacenamiento, separada de nuestras otras regiones.
US1 · Estados Unidos
Para organizaciones que quieren sus datos alojados en Estados Unidos.
UAE1 · Emiratos Árabes Unidos
Una instancia dedicada a los Emiratos, con su propia base de datos y almacenamiento, separada de nuestras otras regiones.
¿Necesita una jurisdicción concreta que aún no operamos? Indíquelo al registrarse — así decidimos cuál construir a continuación, y una instancia puede trasladarse a su propia región en cuanto haya una disponible.
No hace falta registrarse
Nueve herramientas gratuitas, ahora mismo.
Antes de ser cliente, úselas para revisar su propia configuración — o un dominio que le dé curiosidad.
Escáner de seguridad de sitios web
Analice el HTTPS, las cabeceras de seguridad, la CSP, las cookies, los archivos expuestos, el DNSSEC, el CAA y el security.txt de cualquier sitio, sobre 100.
Comprobación de cabeceras HTTP de seguridad
Vea las cabeceras de respuesta HTTP en vivo de un sitio y una lectura en lenguaje claro de las relevantes para la seguridad.
Comprobación de suplantación, seguridad & marca de dominio
Puntúe la configuración de SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI, VMC y logotipo de cualquier dominio, sobre 100.
Prueba de envío de correo
Pruebe un servidor SMTP o una API de envío con una conversación en vivo, transmitida en directo, y un veredicto claro de aprobado/fallo.
Prueba de bandeja de entrada
Obtenga una dirección de un solo uso, envíele un correo de prueba y vea su estado de autenticación y su puntuación de entregabilidad.
Comprobación de registro DMARC
Análisis DMARCbis de cualquier registro — etiquetas obsoletas, lagunas de política y destinos de informe no verificados, todo explicado.
Comprobación de registro SPF
Recorra toda una cadena de include SPF y vea su recuento de búsquedas RFC 7208, las búsquedas vacías y los permerrors.
Analizador de cabeceras de correo
Suelte un correo para ver sus resultados de autenticación, su alineación y su ruta de entrega completa — analizado en su navegador, nunca subido.
Consulta DNS
Consulte cualquier registro A, AAAA, CNAME, MX, TXT, NS, SOA, CAA, SRV o DS y vea a qué resuelve ahora mismo.
Deje de adivinar quién envía en su nombre.
Cuéntenos sobre sus dominios y empiece a protegerse.
Registrarse