Tab & Tap
Español

Guía

Verificar DMARC: cómo leer un registro DMARC etiqueta por etiqueta

DMARC indica a los servidores de correo que reciben mensajes qué hacer con los que dicen venir de tu dominio pero no superan SPF ni DKIM. Un registro mal configurado deja pasar correos suplantados o manda tu propio correo a spam. Así se comprueba.

Dónde está el registro DMARC

DMARC es un registro TXT en _dmarc. delante de tu dominio. Para example.com, consulta el registro TXT de _dmarc.example.com:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"

Debe haber exactamente un registro así. Con dos registros DMARC, los receptores ignoran los dos.

Las etiquetas que importan

EtiquetaSignificadoEjemplo
vVersión. Debe ir primero y ser DMARC1.v=DMARC1
pPolítica del dominio: none (solo informes), quarantine (tratar como sospechoso, normalmente carpeta de spam) o reject (rechazar el mensaje).p=reject
spPolítica para subdominios. Por defecto, la de p.sp=quarantine
pctPorcentaje de mensajes fallidos al que se aplica la política, de 0 a 100. Por defecto, 100.pct=25
ruaAdónde se envían los informes agregados.rua=mailto:dmarc@example.com
rufAdónde se envían los informes de fallos. Muchos proveedores no los envían.ruf=mailto:forensic@example.com
adkim, aspfModo de alineación para DKIM y SPF: r relajado (los subdominios coinciden, por defecto) o s estricto.adkim=s

¿p=none, quarantine o reject?

  • p=none no protege nada; los receptores solo envían informes. Úsalo unas semanas para ver quién envía correo en nombre de tu dominio.
  • p=quarantine manda a spam el correo que falla. Un paso seguro cuando todos tus servicios ya pasan.
  • p=reject bloquea por completo el correo suplantado. El objetivo para la mayoría de los dominios.

Un registro con p=none y sin rua no te da ni protección ni informes, así que no hace absolutamente nada.

Cómo decide DMARC: la alineación

Un mensaje supera DMARC cuando pasa SPF o DKIM y el dominio comprobado coincide con el dominio de la cabecera From. SPF comprueba el remitente del sobre (Return-Path); DKIM comprueba el dominio d= de la firma. Un servicio de newsletters que firma con su propio dominio pasa DKIM, pero falla la alineación DMARC hasta que configures DKIM para tu dominio en ese servicio.

Errores comunes

  • El registro está en el propio dominio en lugar de en _dmarc.
  • Dos registros DMARC, o un registro DMARC dentro de un registro SPF.
  • pct por debajo de 100 después de las pruebas, de modo que la mayoría del correo suplantado sigue entregándose.
  • Pasar a p=reject antes de que todos los servicios que envían correo (CRM, helpdesk, newsletters) pasen SPF o DKIM con alineación.
  • Informes enviados a una dirección de otro dominio sin el registro de autorización de ese dominio.

Revisa también SPF y DKIM

DMARC depende de los otros dos. Un registro SPF debe quedarse en 10 consultas DNS como máximo, includes anidados incluidos, o falla con un error permanente. Las claves DKIM están bajo un nombre de selector (por ejemplo google._domainkey) que el DNS no puede listar, así que necesitas saber qué selector usa tu proveedor.

Fuentes