De un vistazo. Registro: TXT en _dmarc.tudominio · Empieza con: p=none y una dirección rua · Se supera cuando: SPF o DKIM pasan con alineación · Estado final: p=reject cuando los informes estén limpios
Versión resumida
- Qué es la política. Un registro DMARC se publica como registro TXT en _dmarc de tu dominio.
- Las tres políticas. Con p=none, los receptores no toman ninguna medida por causa de DMARC y te envían informes.
- Alineación: relajada y estricta. DMARC no pregunta solo si SPF o DKIM pasaron.
- Política de subdominios y pct. La etiqueta sp define una política distinta para los subdominios.
- Informes: rua y ruf. La etiqueta rua indica adónde enviar los informes agregados.
- Un despliegue seguro. Publica p=none con una dirección de informes que vayas a leer.
Qué es la política
Un registro DMARC se publica como registro TXT en _dmarc de tu dominio. Su etiqueta p es la política: indica a los receptores qué quieres que hagan con un mensaje que dice proceder de tu dominio y no supera la comprobación DMARC.
v=DMARC1; p=none; rua=mailto:dmarc@example.comLa comprobación en sí es simple. SPF o DKIM deben pasar, y el dominio que pasó debe estar alineado con el dominio de la dirección From. Si ninguno lo está, el mensaje no supera DMARC y se aplica la política.
Las tres políticas
Con p=none, los receptores no toman ninguna medida por causa de DMARC y te envían informes. Con p=quarantine, deben tratar el correo con fallos como sospechoso, lo que normalmente significa la carpeta de spam. Con p=reject, deben rechazar el mensaje en el momento de la entrega.
Empieza con none. No puede bloquear nada, por lo que es seguro, y los informes que genera muestran todos los sistemas que envían como tu dominio. Sube de nivel solo cuando los informes demuestren que tu correo legítimo pasa.
Alineación: relajada y estricta
DMARC no pregunta solo si SPF o DKIM pasaron. Pregunta si el dominio que pasó pertenece a la misma organización que el dominio From. Con la alineación relajada, que es la predeterminada, un subdominio como mail.example.com se alinea con example.com. Con la alineación estricta, los dominios deben coincidir exactamente.
La alineación se define por separado para cada método con las etiquetas aspf y adkim. Un servicio de terceros que firma con su propio dominio pasa DKIM pero no se alinea, así que configura tu propio dominio con cada servicio de envío.
Política de subdominios y pct
La etiqueta sp define una política distinta para los subdominios. Sin ella, los subdominios siguen p. Es útil cuando el dominio principal está listo para la aplicación estricta pero algunos subdominios no, o cuando quieres proteger subdominios que nunca envían correo.
La etiqueta pct aplica la política solo a una parte del correo con fallos. Con p=quarantine y pct=10, aproximadamente una décima parte de los mensajes con fallos se pone en cuarentena y el resto se trata como si la política fuera un nivel inferior. Súbelo por pasos mientras los informes sigan limpios.
Informes: rua y ruf
La etiqueta rua indica adónde enviar los informes agregados. Los receptores los envían como XML comprimido, normalmente a diario, con las IP emisoras, el número de mensajes y los resultados de SPF y DKIM. Son la evidencia que necesitas antes de endurecer la política. La etiqueta ruf solicita informes de fallos, que muchos grandes receptores no envían.
Si la dirección de informes pertenece a otro dominio, ese dominio debe autorizarla con un registro DMARC en yourdomain._report._dmarc.otherdomain. Los servicios de informes suelen configurarlo por ti.
Un despliegue seguro
Publica p=none con una dirección de informes que vayas a leer. Durante las semanas siguientes, enumera todas las fuentes que aparezcan en los informes y corrige SPF o DKIM para cada una de las legítimas. Después pasa a p=quarantine con un pct pequeño y súbelo, y solo entonces a p=reject.
Espera sorpresas: un sistema de facturación, una herramienta de marketing olvidada, un servicio de boletines. Cada una que se descubre en la etapa none es un mensaje que se habría perdido en reject. Nuestro generador de DMARC muestra el despliegue como un conjunto de registros que puedes copiar.
Lo que DMARC no puede hacer
DMARC protege el dominio exacto de la dirección From frente a la falsificación. No detiene los dominios parecidos ni el spam que procede de un dominio que el remitente realmente posee. El reenvío y algunas listas de correo también pueden romper la alineación, por lo que los grandes receptores sopesan DMARC junto con otras señales.
El estándar además está siendo revisado en el IETF, así que lee la especificación vigente cuando planifiques un cambio.
Lecturas adicionales y fuentes
- RFC 7489: DMARC
- Google: directrices para remitentes de correo
- Yahoo: mejores prácticas para remitentes
Hazlo en MigoSMTP: artículos del centro de ayuda
- Leer los informes DMARC y pasar a p=reject
- Return-path y dominios de seguimiento personalizados
- Autenticar un dominio de envío en MigoSMTP: SPF, DKIM y DMARC
Guías y herramientas relacionadas
- Generador de registros DMARC: crea un registro y consulta el despliegue.
- Verificador de SPF, DKIM y DMARC: lee tus registros en vivo.
- Cómo configurar DMARC: la configuración paso a paso.
- Corregir fallos de SPF, DKIM y DMARC: interpreta un error y corrígelo.
¿No estás seguro de que tus registros sean correctos? Ejecuta nuestro verificador gratuito o envíanos una cabecera y te ayudaremos a interpretarla.
Preguntas frecuentes
¿Cuáles son las tres políticas DMARC?
None pide a los receptores que no actúen sobre el correo que no supera DMARC, quarantine les pide que lo traten como sospechoso, normalmente enviándolo a spam, y reject les pide que lo rechacen durante la entrega. La política se define con la etiqueta p.
¿Qué es la alineación DMARC?
Un mensaje supera DMARC cuando SPF o DKIM pasan y el dominio que pasó coincide con el dominio de la dirección From visible. La alineación relajada permite que un subdominio coincida con su dominio principal. La alineación estricta exige una coincidencia exacta.
¿Qué hace pct en un registro DMARC?
Fija el porcentaje del correo con fallos al que se aplica la política. Se usa para introducir quarantine o reject por fases, por ejemplo empezando en 10 y subiéndolo mientras los informes sigan limpios.
¿DMARC garantiza que se bloquee el correo suplantado?
No. La política es una solicitud que los receptores deciden atender, y la mayoría de los grandes receptores lo hace. El reenvío y las listas de correo también pueden romper la alineación, así que lee tus informes antes de aplicarla de forma estricta.