# Wixtu: Microsoft 365 security consulting > Wixtu is a Microsoft 365 security consultancy led by Gorka Silva, a Microsoft-certified security architect (SC-100, SC-200, SC-300, SC-400) with 5+ years specialized in Microsoft Security. Services: Microsoft Defender for Office 365, Microsoft Sentinel, Microsoft Purview (DLP and compliance), Entra ID identity and Zero Trust, and Microsoft 365 / Azure security assessments. Wixtu also offers a free email security checker for SPF, DKIM, DMARC and blacklists. Website: https://www.wixtu.com · Free email security checker: https://www.wixtu.com/scan · Summary: https://www.wixtu.com/llms.txt ## About Gorka Silva, founder of Wixtu, is a Cloud Security Analyst specialized in Microsoft. Maximum specialization in Microsoft Security. Certifications that back it up. Results that speak for themselves. In Gorka Silva's words: “I've secured complete infrastructures with Microsoft Defender, implemented Zero Trust policies that actually work, and automated threat detection so your team stops putting out fires and starts preventing them. My approach is not to sell you more licenses. It's to maximize the value of what you already have and add only what you really need to be protected.” Certifications: - SC-100: Microsoft Cybersecurity Architect - SC-200: Microsoft Security Operations Analyst - SC-300: Microsoft Identity and Access Administrator - SC-400: Microsoft Information Protection Administrator Areas of expertise: - Microsoft Defender for Office 365 - Microsoft Sentinel - Microsoft Purview (Data Loss Prevention and compliance) - Microsoft Entra ID (identity, Conditional Access, Zero Trust) - Microsoft 365 and Azure security assessments - Email authentication (SPF, DKIM, DMARC) ## Services ### Microsoft Defender for Office 365 Advanced threat protection implementation for email and collaboration tools. Configuration of security policies, threat intelligence integration, and automated response capabilities. ### Microsoft Purview Compliance Data governance and compliance framework implementation. Information protection policies, data loss prevention, and regulatory compliance management for enterprise environments. ### Security Assessment & Architecture Comprehensive security posture evaluation of Microsoft 365 and Azure environments. Assessment includes identity management, data protection, and threat detection capabilities. ### Identity & Access Management Azure AD / Entra ID implementation with conditional access policies, MFA deployment, and privileged access management. Zero Trust architecture design and implementation. ## Free email security checker Can someone send email pretending to be you? Check your domain's SPF, DKIM and DMARC in seconds. The same checks attackers run before an invoice-fraud or CEO-impersonation campaign. - URL: https://www.wixtu.com/scan - Shareable report for any domain: https://www.wixtu.com/scan?domain=example.com - Free, no signup. It only reads public DNS records. ## Frequently asked questions ### What does the Wixtu email security checker test? It reads a domain’s public DNS live and checks SPF (the record, its full include tree, the 10 DNS-lookup and 2 void-lookup limits, loops and duplicate includes), DMARC (policy, percentage, subdomain policy and whether external report addresses are authorized), DKIM (24 common selectors including Microsoft 365 selector1 and selector2, or your own, with key type and size), MX records, IP blacklists and MTA-STS, TLS-RPT and BIMI. The result is an A-F grade plus a full technical report. ### What is SPF and why does the 10-lookup limit matter? SPF is a DNS record listing the servers allowed to send email for your domain. Each include, a, mx, ptr, exists and redirect costs a DNS lookup, nested includes count too, and receivers stop at 10. Above that, SPF returns a permanent error and fails for all of your mail, including legitimate mail. ### What is DMARC and which policy should I use? DMARC tells receiving servers what to do with mail that fails SPF and DKIM alignment for your domain: deliver it (p=none), send it to spam (p=quarantine) or reject it (p=reject). The safe path is to start with p=none and a reporting address (rua), use the reports to find every legitimate sender, then move to quarantine and finally reject. ### Why might the checker not find my DKIM key? DNS has no way to list DKIM selectors, so any checker has to try likely names. If your provider uses a custom selector (Google, for example, rotates date-based ones), enter it in the DKIM section and it is checked directly. For Microsoft 365 the selectors are always selector1 and selector2, so a missing key there means DKIM is not enabled for your domain. ### How do I enable DKIM for my domain in Microsoft 365? In the Microsoft Defender portal, open Email authentication settings, select DKIM and your domain, publish the two CNAME records it shows (selector1._domainkey and selector2._domainkey) at your DNS provider, then enable signing. Until then, Microsoft 365 signs your mail with your onmicrosoft.com domain, which DMARC cannot use for your own domain. ### Why doesn’t the checker include Spamhaus? Spamhaus refuses queries coming from public DNS resolvers and answers with codes that many tools misread as a listing. Rather than show a false result, the checker leaves it out and links to Spamhaus’ own lookup. Every blacklist it does use is verified against its own test entry first, so a list that doesn’t answer properly is shown as unavailable, never as clean. ### Is it safe to scan my domain? Yes. The checker only reads public DNS records that anyone on the internet can see. It does not connect to your mail servers or systems, and Wixtu does not keep a database of scanned domains. ## Consultation Schedule your strategic consultation (no cost). In 30 minutes we identify your critical vulnerabilities and show you exactly how to secure your infrastructure with Microsoft Security solutions. - Email: gorka.silva@wixtu.com - LinkedIn: https://www.linkedin.com/in/gorkasilva/ --- # Wixtu (español): consultoría de seguridad de Microsoft 365 Implementamos soluciones Microsoft Defender y Purview que detectan y detienen amenazas automáticamente. Consultoría especializada e implementación de arquitecturas de seguridad Microsoft 365 y Azure . Soluciones de nivel enterprise. ## Servicios ### Microsoft Defender for Office 365 Implementación de protección avanzada contra amenazas para correo y herramientas de colaboración. Configuración de políticas de seguridad, integración de threat intelligence y capacidades de respuesta automática. ### Microsoft Purview Compliance Implementación de framework de gobernanza de datos y cumplimiento normativo. Políticas de protección de información, prevención de pérdida de datos y gestión de compliance para entornos enterprise. ### Security Assessment & Architecture Evaluación integral de postura de seguridad en entornos Microsoft 365 y Azure. El assessment incluye gestión de identidades, protección de datos y capacidades de detección de amenazas. ### Identity & Access Management Implementación de Azure AD / Entra ID con políticas de acceso condicional, despliegue de MFA y gestión de accesos privilegiados. Diseño e implementación de arquitectura Zero Trust. ## Analizador gratuito de seguridad del correo ¿Puede alguien enviar correos haciéndose pasar por ti? Comprueba el SPF, DKIM y DMARC de tu dominio en segundos. Son las mismas comprobaciones que hace un atacante antes de un fraude de facturas o de suplantación del CEO. https://www.wixtu.com/scan ## Preguntas frecuentes ### ¿Qué comprueba el analizador de seguridad del correo de Wixtu? Lee en vivo el DNS público del dominio y revisa SPF (el registro, su árbol completo de includes, los límites de 10 consultas DNS y 2 consultas vacías, bucles e includes duplicados), DMARC (política, porcentaje, política de subdominios y si los destinos de informes externos están autorizados), DKIM (24 selectores habituales, incluidos selector1 y selector2 de Microsoft 365, o el tuyo, con tipo y tamaño de clave), registros MX, blacklists de IP y MTA-STS, TLS-RPT y BIMI. El resultado es una nota de la A a la F y un informe técnico completo. ### ¿Qué es SPF y por qué importa el límite de 10 consultas? SPF es un registro DNS con los servidores autorizados a enviar correo en nombre de tu dominio. Cada include, a, mx, ptr, exists y redirect cuesta una consulta DNS, los includes anidados también cuentan y los receptores paran en 10. Por encima, SPF da un error permanente y falla para todo tu correo, también el legítimo. ### ¿Qué es DMARC y qué política debo usar? DMARC indica a los servidores receptores qué hacer con el correo que no pasa la alineación de SPF y DKIM de tu dominio: entregarlo (p=none), mandarlo a spam (p=quarantine) o rechazarlo (p=reject). Lo seguro es empezar con p=none y una dirección de informes (rua), usar los informes para encontrar todos los remitentes legítimos y después pasar a quarantine y finalmente a reject. ### ¿Por qué el analizador puede no encontrar mi clave DKIM? El DNS no permite listar los selectores DKIM, así que cualquier analizador tiene que probar nombres probables. Si tu proveedor usa un selector propio (Google, por ejemplo, los rota con fechas), escríbelo en la sección DKIM y se comprueba directamente. En Microsoft 365 los selectores son siempre selector1 y selector2, así que si no aparece la clave es que DKIM no está activado para tu dominio. ### ¿Cómo activo DKIM para mi dominio en Microsoft 365? En el portal de Microsoft Defender, abre la configuración de autenticación de correo, selecciona DKIM y tu dominio, publica en tu proveedor DNS los dos registros CNAME que te muestra (selector1._domainkey y selector2._domainkey) y activa la firma. Hasta entonces, Microsoft 365 firma tu correo con tu dominio onmicrosoft.com, que DMARC no puede usar para tu propio dominio. ### ¿Por qué el analizador no incluye Spamhaus? Spamhaus rechaza las consultas que llegan desde resolvers DNS públicos y responde con códigos que muchas herramientas interpretan mal como “listado”. En lugar de mostrar un resultado falso, el analizador lo deja fuera y enlaza a la consulta de la propia Spamhaus. Cada blacklist que sí usa se verifica antes con su entrada de prueba, así que una lista que no responde bien se muestra como no disponible, nunca como limpia. ### ¿Es seguro analizar mi dominio? Sí. El analizador solo lee registros DNS públicos que cualquiera puede ver en internet. No se conecta a tus servidores de correo ni a tus sistemas, y Wixtu no guarda una base de datos de los dominios analizados. ## Contacto Agenda tu consultoría estratégica (sin costo). En 30 minutos identificamos tus vulnerabilidades críticas y te mostramos exactamente cómo blindar tu infraestructura con soluciones Microsoft Security. gorka.silva@wixtu.com