Los buenos programas son aburridos bajo el capó: un dominio comprado para capacitación y propiedad para siempre, una configuración de envío que no puede dañar la reputación del dominio real y una puerta de enlace de correo que permite la prueba mediante una excepción deliberada y con un límite de tiempo, no por accidente. Esta página es esa configuración.
Tres errores explican la mayor parte de la vergüenza técnica en este campo: enviar desde el dominio real, dejar que la prueba sea devorada silenciosamente por el filtro de spam y descubrir que la página de destino registra datos erróneos después del lanzamiento. La siguiente configuración evita los tres, en ese orden.
v=spf1 mx a -allCompre una copia del dominio de su empresa (el tipo de ortografía que los atacantes reales utilizan contra usted) y regístrelo permanentemente en la organización. Existe sólo para entrenamiento. Dos límites firmes: nunca registrar un dominio imitando a un banco, una mensajería o cualquier otra empresa; y nunca permita que el dominio de entrenamiento caduque, porque una copia caducada de su propio dominio es un regalo para los atacantes reales. Pon su renovación en el mismo calendario que el dominio real.
Envíe simulaciones solo desde el dominio de entrenamiento, a través del perfil de envío de la plataforma, con sus registros DNS (SPF y, cuando su plataforma lo admita, DKIM) configurados para ese dominio, como la línea SPF en el panel de arriba. La reputación, la capacidad de entrega y los informes DMARC de su dominio real permanecen completamente intactos por el ejercicio. Mantenga protegida la consola de administración de la plataforma: GoPhish, por ejemplo, ofrece su interfaz de administración en el puerto 3333 de forma predeterminada; esa interfaz pertenece detrás de una VPN o una lista de IP permitidas, nunca publicada abiertamente.
La seguridad de su correo intentará, correctamente, bloquear la simulación. Coordine con quien lo ejecute: una entrada de la lista de permitidos con alcance a la dirección de envío específica y la ventana de lanzamiento aprobada, registrada y eliminada cuando se cierra la ronda. Una derivación amplia y permanente no es una conveniencia para la prueba: es un agujero en sus defensas reales con su nombre escrito. Y aproveche el cumplido escondido en el bloque: si el filtro detiene su prueba en seco, eso es evidencia de que también detiene el phishing real.
Mira el perfil de envío y los ajustes de campaña configurados en el vídeo, paso a paso.
▶️ Watch Full VideoTres razones: un percance daña la reputación y la capacidad de entrega del correo del dominio real; el personal ya no puede confiar en el correo interno genuino durante las pruebas; y si alguna pieza tiene fugas, parece un verdadero compromiso. El dominio de formación aporta todo el realismo que necesita la lección.
No, son sus defensas las que funcionan y vale la pena decírselo a la dirección. Haga una lista de permitidos limitada para la ventana aprobada, ejecute la ronda y luego cierre la excepción. El comportamiento del filtro son datos, no derrota.
Muchas organizaciones hacen exactamente eso. Trátelo como cualquier sistema conectado a Internet: parcheado, con la consola de administración restringida a su propia ruta de acceso y el lado de envío confinado al dominio de capacitación; nunca una caja compartida que también ofrezca servicios reales de la empresa.