Analizador de Registros DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance, RFC 7489) es un protocolo de autenticación de correo electrónico que se basa en SPF y DKIM. Indica a los servidores de correo receptores qué hacer cuando un correo falla las comprobaciones SPF o DKIM. DMARC añade dos cosas que SPF/DKIM no tienen: (1) Alineación: requiere que el dominio de la cabecera From: coincida con el dominio SPF o DKIM autenticado, previniendo la suplantación del nombre de visualización. (2) Informes: DMARC envía informes XML agregados diarios (rua=) a su correo para que pueda supervisar quién envía correo en nombre de su dominio.

p=none: modo de supervisión; recopilar informes pero no tomar ninguna acción sobre los correos no autorizados. Úselo cuando comience con DMARC para comprender sus flujos de correo antes de aplicar medidas. p=quarantine: enviar los correos no conformes a la carpeta de spam/correo no deseado. Un buen paso intermedio una vez que esté seguro de su configuración. p=reject: rechazar directamente los correos no autorizados; nunca llegan a la bandeja de entrada. Esta es la máxima protección contra phishing y suplantación, y lo que Google/Yahoo exigen ahora para los remitentes masivos. Ruta de migración: none → quarantine → reject.

rua= especifica adónde se envían los informes agregados de DMARC (p. ej., rua=mailto:[email protected]). Estos informes XML diarios de los principales proveedores (Google, Microsoft, Yahoo) muestran: qué IPs envían correo como su dominio, qué correos pasaron/fallaron SPF y DKIM, y la disposición DMARC. Sin rua=, no tiene visibilidad del uso no autorizado de su dominio. Nunca establezca p=reject sin supervisar primero los informes rua= durante semanas.

La alineación garantiza que la cabecera From: coincida con el dominio autenticado. adkim= (alineación DKIM): r=relaxed permite que subdomain.example.com se alinee con example.com. s=strict requiere una coincidencia exacta. aspf= (alineación SPF): misma distinción relaxed/strict para SPF. El modo relaxed (el predeterminado) es generalmente la opción correcta: la alineación estricta puede hacer que el correo transaccional legítimo de subdominios falle DMARC.

Google Workspace: su selector DKIM es «google» de forma predeterminada. Autentíquese en la Consola de administración de Google. SPF debe incluir include:_spf.google.com. Microsoft 365: utiliza selector1 y selector2 (rotados automáticamente). SPF debe incluir include:spf.protection.outlook.com. DMARC para ambos: comience con «v=DMARC1; p=none; rua=mailto:[email protected]». Tras 2-4 semanas supervisando informes, pase a p=quarantine y luego a p=reject.