Cómo configurar DMARC: guía paso a paso con ejemplos

La versión corta

1. Qué hace DMARC. DMARC son las siglas de Domain-based Message Authentication, Reporting and Conformance.
2. Antes de empezar. DMARC pasa cuando SPF o DKIM pasan y el dominio que pasó coincide, o se alinea, con el dominio de la dirección From.
3. Paso 1: publique un registro en modo de supervisión. DMARC es un registro TXT en _dmarc.sudominio.com.
4. Paso 2: lea los informes agregados. Los receptores envían informes XML diarios a la dirección rua.
5. Un ejemplo práctico de lectura de un informe. Imagine que un informe muestra tres orígenes para su dominio.
6. DMARC con proveedores de buzones habituales. Si el correo de su personal funciona en Google Workspace o Microsoft 365, cada proveedor tiene sus propios pasos para activar la firma DKIM de su dominio y su propio valor de include de SPF.

Qué hace DMARC

DMARC son las siglas de Domain-based Message Authentication, Reporting and Conformance. Se apoya en dos comprobaciones anteriores. SPF indica qué servidores pueden enviar en nombre de su dominio, y DKIM añade una firma que demuestra que el mensaje no fue alterado. DMARC añade dos cosas: una regla sobre qué deben hacer los receptores cuando ambas comprobaciones no se alinean con su dominio From visible, y una forma de que los receptores le informen.

Sin DMARC, cualquiera puede poner su dominio en la línea From y los receptores no tienen ninguna instrucción suya sobre qué hacer. Con DMARC, puede ver el uso indebido y, cuando esté listo, pedir a los receptores que lo rechacen.

Antes de empezar

DMARC pasa cuando SPF o DKIM pasan y el dominio que pasó coincide, o se alinea, con el dominio de la dirección From. Por eso SPF y DKIM ya deben funcionar en todos los servicios que envían en nombre de su dominio: su servicio de envío, el proveedor de buzones de su oficina, su CRM, su sistema de soporte y cualquier herramienta de facturación.

Haga una lista de todos. Los remitentes olvidados son la causa más común de que un despliegue de DMARC rompa correo legítimo. Nuestro verificador gratuito muestra lo que está publicado hoy.

Paso 1: publique un registro en modo de supervisión

DMARC es un registro TXT en _dmarc.sudominio.com. Empiece con la política p=none, que pide a los receptores que no tomen ninguna medida pero que igualmente le envíen informes. Sustituya la dirección por un buzón que realmente lea, o por un servicio de informes.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Algunos paneles DNS añaden el nombre del dominio por usted, de modo que solo introduce _dmarc como host. Otros requieren el nombre completo. Si su panel elimina las comillas o divide los valores largos, compruebe el resultado con una herramienta de consulta en lugar de fiarse de la pantalla.

Paso 2: lea los informes agregados

Los receptores envían informes XML diarios a la dirección rua. Cada uno enumera las direcciones IP que enviaron correo en nombre de su dominio, cuántos mensajes y si SPF y DKIM pasaron y se alinearon. El XML sin procesar es difícil de leer, así que la mayoría de los equipos usa un visor de informes gratuito o de pago.

Busque dos cosas. Remitentes legítimos que no superan la alineación, que debe corregir, y orígenes que no reconoce, que pueden ser suplantación. Dé un margen de dos a cuatro semanas para que aparezcan también los remitentes mensuales, como los procesos de facturación.

Un ejemplo práctico de lectura de un informe

Imagine que un informe muestra tres orígenes para su dominio. El primero es su servicio de envío: 40.000 mensajes, SPF y DKIM pasan y se alinean. El segundo es el proveedor de buzones de su oficina: 600 mensajes, DKIM pasa y se alinea. El tercero es un servidor desconocido en otro país: 900 mensajes, ambos fallan.

Los dos primeros no requieren ninguna acción. El tercero es una herramienta que olvidó o alguien que se hace pasar por usted. Averigüe cuál de los dos antes de endurecer la política. Si es una herramienta olvidada, corrija su autenticación. Si no es suya, ese es exactamente el tráfico que p=reject está pensado para detener.

DMARC con proveedores de buzones habituales

Si el correo de su personal funciona en Google Workspace o Microsoft 365, cada proveedor tiene sus propios pasos para activar la firma DKIM de su dominio y su propio valor de include de SPF. Hágalo primero y luego publique DMARC. Muchas pequeñas empresas de la India gestionan el DNS desde el panel de un registrador como GoDaddy, BigRock o Hostinger, o desde Cloudflare, y el registro TXT funciona igual en todos ellos.

Use el que use, añada el registro DMARC una sola vez y verifíquelo con una consulta pasados unos minutos. Los cambios de DNS pueden tardar en propagarse, y algunos paneles guardan en caché durante horas.

Paso 3: corrija lo que falla

Para cada remitente legítimo que falle, decida si corregir SPF, DKIM o ambos. Una herramienta de terceros que envía desde su propio dominio necesita una firma DKIM personalizada para el suyo. Un servidor olvidado debe añadirse a SPF, respetando el límite de diez consultas DNS.

El correo reenviado puede fallar en SPF porque el servidor del reenviador no está en su registro. DKIM suele sobrevivir al reenvío, lo cual es una buena razón para asegurarse de que todos los remitentes firmen.

Paso 4: pase a quarantine y luego a reject

Cuando los informes muestren que su correo legítimo pasa, endurezca la política por etapas. p=quarantine pide a los receptores que traten los fallos como sospechosos, normalmente como spam. p=reject les pide que rechacen el mensaje. La etiqueta pct permite aplicar primero la política a una parte del correo.

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.com

Avance un paso cada vez y observe los informes durante un par de semanas en cada etapa. No hay premio por llegar rápido a reject, y un cambio apresurado puede bloquear facturas y restablecimientos de contraseña.

Subdominios y otras etiquetas

Un registro DMARC se aplica también a los subdominios, salvo que añada una etiqueta sp. Si envía correo de marketing desde un subdominio, puede publicar un registro independiente allí. Las etiquetas adkim y aspf controlan el rigor de la alineación. El modo relajado, que es el predeterminado, permite que un subdominio coincida con el dominio organizativo. La mayoría de los remitentes debería dejar ambas sin cambios.

Puede que vea una etiqueta ruf para informes forenses. Pocos receptores los envían y pueden contener contenido de los mensajes, por lo que la mayoría de las organizaciones no los usa.

Errores que debe evitar

Publicar dos registros DMARC en un mismo dominio invalida ambos, así que mantenga exactamente uno. No salte a p=reject el primer día. No dirija los informes a un buzón que nadie lee. Y no trate DMARC como una solución de entregabilidad por sí sola: demuestra quién es usted, no que su correo sea deseado. La calidad de la lista y las tasas de quejas siguen decidiendo si llega a la bandeja de entrada.

Los grandes proveedores de buzones esperan ahora que los remitentes masivos tengan SPF, DKIM y DMARC, así que vale la pena hacerlo aunque su volumen sea modesto. Nuestra guía sobre los requisitos de los proveedores de buzones explica qué pide cada uno.

Lecturas adicionales y fuentes

• RFC 7489: DMARC
• RFC 7208: Sender Policy Framework (SPF)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
• Google: directrices para remitentes de correo
• Yahoo: mejores prácticas para remitentes

Hágalo en MigoSMTP: artículos del centro de ayuda

• Lea los informes DMARC y pase a p=reject
• Return-path y dominios de seguimiento personalizados
• Autentique un dominio de envío en MigoSMTP: SPF, DKIM y DMARC

Guías y herramientas relacionadas

• Generador de registros DMARC: cree un registro que pueda pegar en el DNS.
• Verifique SPF, DKIM y DMARC: pruebe los registros de su dominio.
• Requisitos de los proveedores de buzones: lo que esperan Gmail, Outlook y Yahoo.