Cree un registro DMARC con la política, las direcciones de informes y la alineación que elija. Cada tag está explicado y un despliegue por fases muestra cómo pasar de monitorización a aplicación con seguridad.
| Tag | Valor | Significado |
|---|
| Fase | Registro | Qué hacer |
|---|---|---|
| 1. Observar | p=none; rua=mailto:... | Recopile informes durante unas semanas. Liste todos los sistemas que envían en nombre de su dominio y corrija SPF o DKIM para los legítimos. |
| 2. Empezar a aplicar | p=quarantine; pct=10 | Aplique la política a una pequeña parte del correo que falla y luego suba pct por pasos (25, 50, 100) mientras los informes sigan limpios. |
| 3. Quarantine completo | p=quarantine; pct=100 | Permanezca aquí hasta que ninguna fuente legítima falle. |
| 4. Reject | p=reject | El correo que falla se rechaza. Siga leyendo los informes; los remitentes nuevos que añada después deberán configurarse. |
El tiempo en cada fase depende de cuántos sistemas envían para su dominio. Los nombres de las fases son sugerencia nuestra, no parte del estándar DMARC.
El generador se ejecuta en su navegador y no almacena nada. Mantenga siempre un solo registro DMARC por dominio, publicado como registro TXT en _dmarc.
SPF y DKIM comprueban cada uno algo, pero ninguno indica qué hacer cuando la comprobación falla, y ninguno está ligado a la dirección que la gente ve realmente en la línea From. DMARC resuelve ambas cosas. Indica a los receptores: acepten correo como procedente de este dominio solo si SPF o DKIM pasaron usando el mismo dominio que la dirección From, y esto es lo que deben hacer con el que no. También pide a los receptores que le envíen informes, así es como descubre quién envía correo en nombre de su dominio.
| Tag | Qué hace | Notas |
|---|---|---|
| v | Versión | Siempre DMARC1 y siempre el primero. |
| p | Política para el correo que falla: none, quarantine o reject | Obligatorio. |
| sp | Política para subdominios | Opcional. Sin él, los subdominios siguen p. |
| rua | Dónde enviar los informes agregados | Muy recomendable. Una o más direcciones mailto:. |
| ruf | Dónde enviar los informes de fallos | Opcional. Muchos grandes receptores no los envían. |
| adkim, aspf | Modo de alineación: relajada (r) o estricta (s) | La relajada es la predeterminada y es adecuada para la mayoría de los dominios. |
| pct | Porcentaje del correo que falla al que se aplica la política | Úselo para introducir quarantine o reject de forma gradual. |
| fo | Cuándo generar informes de fallos | 0 (predeterminado), 1, d o s. |
| ri | Segundos solicitados entre informes agregados | El valor predeterminado es 86400, un día. Los receptores pueden ignorarlo. |
El error habitual es publicar p=reject el primer día y descubrir, por facturas rebotadas, que un sistema olvidado enviaba en su nombre. El camino seguro es empezar observando y endurecer solo cuando los informes estén limpios.
La tabla de fases bajo el generador muestra cada paso como un registro que puede copiar.
DMARC pasa cuando SPF o DKIM pasan y el dominio que pasa coincide con el dominio From. Con alineación relajada, un subdominio cuenta como coincidencia: el correo de mail.example.com se alinea con un From de example.com. Con alineación estricta, los dominios deben ser idénticos. La estricta solo merece la pena cuando controla todos los remitentes y quiere la regla más ajustada; puede romper correo legítimo de servicios de terceros que usan subdominios.
Si su dirección rua está en un dominio distinto del que protege, como un servicio de informes, los receptores comprueban que ese otro dominio acepta recibir sus informes. Lo hace publicando un registro TXT en sudominio._report._dmarc.otrodominio con el valor v=DMARC1. Los servicios de informes suelen configurarlo por usted; el generador se lo recuerda cuando corresponde.
Los informes rua diarios son archivos XML comprimidos, uno por receptor, que listan IP de envío, recuentos de mensajes y resultados de SPF y DKIM. Son difíciles de leer a mano cuando llegan más de unos pocos al día. La mayoría usa un servicio de informes o un script para convertirlos en una tabla. Sea cual sea su opción, revíselos con regularidad, sobre todo tras añadir un nuevo servicio de envío.
Cree un registro TXT llamado _dmarc en su dominio (el nombre completo será _dmarc.example.com) y pegue el valor generado. Debe haber exactamente un registro DMARC. Cuando el DNS se haya actualizado, ejecute nuestro verificador de SPF, DKIM y DMARC en el dominio para confirmar que se lee como pretendía.
Coloca los tags en el orden estándar, añade el prefijo mailto: por usted y bloquea la copia mientras una dirección no sea válida.
Señala reject sin informes, alineación estricta, informes enviados a otro dominio y registros tan largos que requieren dividirse.
Una tabla lista cada tag de su registro con su significado, para que sepa qué está publicando.
Un plan de cuatro fases le lleva de p=none a p=reject.
v=DMARC1; p=none; rua=mailto:una-direccion-que-lea. No cambia nada en la entrega y pone en marcha los informes que muestran quién envía en nombre de su dominio.
Quarantine pide a los receptores que traten el correo que falla como sospechoso, normalmente enviándolo a spam. Reject les pide que lo rechacen. Ambos dependen de que el receptor decida seguir su política.
Define la parte del correo que falla a la que se aplica la política. Sirve para introducir quarantine o reject de forma gradual: empiece bajo y súbalo mientras los informes sigan limpios.
Normalmente no. La alineación relajada permite que coincidan los subdominios, lo que encaja en la mayoría de las configuraciones. La estricta puede hacer fallar correo legítimo de servicios de terceros si usan un subdominio.
Normalmente no. Los informes de fallos son opcionales, muchos grandes receptores no los envían y pueden contener partes del contenido del mensaje. Los informes agregados (rua) son los útiles.
Como registro TXT llamado _dmarc en su dominio, por ejemplo _dmarc.example.com. Solo puede haber uno.
Cada receptor envía los informes más o menos una vez al día, y solo del correo que gestionó. Deje un par de días tras publicar y compruebe que la dirección está bien escrita y, si está en otro dominio, autorizada allí.
Compruebe lo que ven los receptores de su dominio: SPF, DKIM y DMARC en una sola ejecución.
Crea una cuenta, añade tu dominio y envía tu primer correo.