Un correo autenticado es un correo que salió de donde dice. No es un correo veraz. Casi todo el sector confunde las dos cosas, y el fraude de reclutamiento vive de esa confusión.
El 2 de septiembre recibí una oferta para un puesto de Group CTO en un grupo de aviación. El mensaje era breve, correcto y específico: citaba tres proyectos concretos de mi trayectoria. Google lo entregó en la bandeja principal con SPF, DKIM y DMARC en verde.
Cinco comprobaciones después estaba claro que detrás no había ninguna empresa. Lo que sigue es el procedimiento, no la anécdota.
1. Pregunta por la edad, no por el diseño
RDAP sustituyó al WHOIS y responde en JSON. Es la primera consulta, siempre, porque el fraude necesita dominios desechables y los dominios desechables son nuevos.
El dominio del remitente se había registrado el 29 de agosto de 2026 a las 14:43:26 UTC, en Hostinger, por un año y con el titular oculto. El correo llegó cuatro días después. Una consultora de selección ejecutiva con cartera de clientes en aviación no tiene cuatro días.
2. El certificado data el montaje
Todo certificado TLS público queda registrado en los Certificate Transparency logs, y el campo notBefore dice cuándo se emitió. Let’s Encrypt lo pre-fecha una hora, así que hay que sumarla.
Hecha esa corrección, el certificado se emitió unos tres minutos después del registro del dominio. Dominio, DNS, buzón y certificado en la misma pasada automática. Nadie diseñó nada: solo hacía falta que el remitente existiera.
3. Mira la web, no el logotipo
La web era la página de aparcamiento por defecto del hosting. Sin nombre de empresa, sin dirección, sin teléfono, sin equipo, sin una sola vacante publicada. El correo, en cambio, hablaba de un mandato ejecutivo confidencial.
Un headhunter sin web es un headhunter sin clientes. Nadie encarga una búsqueda de CTO a una empresa que no puede enseñar quién es.
4. Cualquier web viva deja huella
urlscan.io archiva cada análisis que le pide cualquiera desde 2016. La Wayback Machine lleva capturando desde 1996. Un dominio corporativo real acumula rastro en ambos casi sin querer: un cliente que lo comprueba, un filtro de correo que lo escanea, un rastreador que pasa.
Este tenía cero escaneos y cero capturas. No es una empresa con poca presencia digital: es un dominio que nadie ha visitado nunca.
5. Comprueba si el mensaje se sostiene por dentro
Cuatro incoherencias, todas visibles en el propio correo:
- La firma reclamaba un cargo en una gran consultora de selección estadounidense. El cargo es real y lo ocupa una persona real, localizable en LinkedIn. Pero un empleado de esa firma escribe desde el dominio de la firma.
- Los correos venían fechados en
+0100. La empresa citada tiene su sede en la costa este de Estados Unidos,−0400. - Escribieron a mi cuenta personal de Gmail, no a la dirección profesional que publico en mi web y en mi CV. La sacaron de una lista.
- El seguimiento llegó a las 22 horas y empezaba con «Hi There». Había perdido mi nombre por el camino: es una secuencia automática, no una persona interesada en un candidato.
Los comandos
Cuatro consultas, ningún registro, ninguna herramienta de pago. Sustituye DOMAIN:
curl -s https://rdap.org/domain/DOMAIN | jq '.events'
echo | openssl s_client -connect DOMAIN:443 | openssl x509 -noout -issuer -dates
dig +short MX DOMAIN && dig +short TXT _dmarc.DOMAIN
curl -s "https://urlscan.io/api/v1/search/?q=page.domain:DOMAIN"
Qué demuestra realmente la autenticación
SPF, DKIM y DMARC responden a una sola pregunta: ¿está autorizado este servidor a enviar en nombre de este dominio? Si tú eres el dueño del dominio, la respuesta es que sí. Autenticarse es trivial: quince minutos y el precio de un dominio.
La pregunta que importa —¿existe la empresa que dice este correo?— no la contesta ninguna cabecera. La contestan el registro del dominio, los logs de transparencia y el rastro público. Y esa la puede hacer cualquiera.
Sobre la persona suplantada
El nombre y el cargo de la firma pertenecen a una profesional real que casi con certeza no sabe nada de esto. Es la primera perjudicada, no la responsable. Publico el dominio —bonillarecruiting.com— y no el nombre, porque el dominio es el hecho verificable y el nombre es solo el disfraz.
Por qué funciona
La parte técnica es la fácil. Cinco minutos, cuatro comandos, ningún juicio de valor.
Lo difícil es lo otro. Esto funciona porque llega a alguien con veinte años de oficio a quien nadie llama desde hace meses. Porque el correo dice, con tus propias palabras, que lo que has construido importa. Porque cuando llevas mucho tiempo esperando una señal, la primera que llega no la auditas: la agradeces.
Ese es el material con el que trabajan. No con dominios baratos ni con certificados automáticos, sino con la esperanza de gente competente que solo quería volver a trabajar. La comprobación no cuesta nada. Hazla antes de ilusionarte, no después.