¿Qué es DMARC?
DMARC (Autenticación de mensajes basada en dominio, informes y conformidad) es un protocolo de autenticación de correo electrónico que comprueba si un dominio autenticado mediante SPF o DKIM se alinea con el dominio de la dirección From de un mensaje. El propietario del dominio puede publicar una preferencia de gestión solicitada para los mensajes que no superen la validación DMARC y solicitar informes agregados o de fallos específicos de mensajes.
Por qué DMARC es esencial
SPF y DKIM autentican identificadores de envío. Por sí solos, no comprueban si un identificador autenticado se alinea con el dominio de la dirección From ni indican la preferencia de gestión del propietario del dominio para los mensajes fallidos.
DMARC lo resuelve mediante:
- Indicar una preferencia de gestión: none, quarantine o reject para los mensajes que no superen DMARC
- Comprobar la alineación: al menos un identificador SPF o DKIM autenticado debe alinearse con el dominio From
- Solicitar informes: los informes agregados y los informes de fallos específicos de mensajes ofrecen información sobre los resultados de autenticación observados
Cómo funciona DMARC
1. El remitente publica la política DMARC en DNS (registro TXT en _dmarc.domain.com)
2. Se envía el correo electrónico con From: [email protected]
3. El receptor comprueba SPF y DKIM
4. El receptor comprueba la alineación: ¿Coincide el dominio autenticado con el encabezado From?
5. Decisión de gestión: el receptor tiene en cuenta la política solicitada y otras señales
6. Pueden enviarse informes: los receptores participantes pueden enviar los informes agregados o de fallos específicos solicitados
Alineación de DMARC
DMARC requiere alineación: el dominio del encabezado From debe alinearse con al menos un identificador autenticado según el modo relajado o estricto del registro:
- Alineación SPF: el dominio MAIL FROM validado por SPF o el dominio HELO cuando MAIL FROM es nulo
- Alineación DKIM: el dominio d= de una firma DKIM válida
Sin alineación, SPF o DKIM pueden dar positivo mientras DMARC falla. DMARC aborda directamente formas concretas de suplantación que utilizan el dominio From exacto. No detecta dominios visualmente similares ni el uso indebido del nombre visible del remitente.
Formato del registro DMARC
Los registros DMARC son registros TXT en _dmarc.yourdomain.com:
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"Etiquetas DMARC
| Etiqueta | Obligatorio | Descripción | Ejemplo |
|---|---|---|---|
| v | Sí | Versión | v=DMARC1 |
| p | Recomendado (opcional) | Preferencia de gestión solicitada para el correo que no supere la validación DMARC | p=none/quarantine/reject |
| rua | No | URI de informe agregado | rua=mailto:[email protected] |
| ruf | No | URI de informe de fallos específicos de mensajes | ruf=mailto:[email protected] |
| t | No | Modo de prueba de la política | t=y o t=n |
| sp | No | Política solicitada para subdominios existentes | sp=reject |
| np | No | Política solicitada para subdominios inexistentes | np=reject |
| adkim | No | Modo de alineación DKIM | adkim=s (estricto) o adkim=r (relajado) |
| aspf | No | Modo de alineación SPF | aspf=s o aspf=r |
La etiqueta pct es histórica. La norma DMARC actual ya no la utiliza para aplicar una política a un porcentaje de mensajes fallidos. La etiqueta p se recomienda, pero es opcional; un registro válido que no la incluya se trata como p=none.
Políticas DMARC
p=none: No expresa ninguna preferencia de gestión para los mensajes fallidos. Los propietarios de dominios suelen utilizarla mientras revisan los informes.v=DMARC1; p=none; rua=mailto:[email protected]v=DMARC1; p=quarantine; rua=mailto:[email protected]v=DMARC1; p=reject; rua=mailto:[email protected]Ruta de implementación de DMARC
Fase 1: Monitorización (p=none)
Empieza monitorizando para comprender tu ecosistema de correo electrónico:
v=DMARC1; p=none; rua=mailto:[email protected]Analiza los informes para identificar:
- Servicios de envío legítimos sin SPF/DKIM
- Remitentes no autorizados (suplantación)
- Problemas de alineación
Fase 2: Cuarentena (p=quarantine)
Cuando las fuentes legítimas estén autenticadas:
v=DMARC1; p=quarantine; rua=mailto:[email protected]Revisa los informes y confirma que el correo legítimo está autenticado antes de elegir una política más estricta. La norma DMARC actual no define una aplicación gradual basada en porcentajes.
Fase 3: Rechazo (p=reject)
Solicita el rechazo de los mensajes que no superen DMARC:
v=DMARC1; p=reject; rua=mailto:[email protected]Informes DMARC
Informes agregados (rua)
Se recomienda que los receptores envíen informes XML agregados a diario o con mayor frecuencia. Los informes resumen los flujos de mensajes observados, por lo que su disponibilidad y cobertura dependen de los receptores que los envíen:
- Volumen de correo electrónico
- Tasas de éxito y fallo de SPF, DKIM y DMARC
- Direcciones IP de envío
- Organizaciones receptoras
Informes de fallos (ruf)
Los informes específicos de mensajes pueden incluir encabezados o contenido del mensaje. No todos los receptores los envían, a menudo por motivos de privacidad:
- Detalles del fallo de autenticación
Procesamiento de informes
Los informes DMARC agregados están en XML y pueden ser difíciles de leer. Utiliza servicios como:
- DMARC Analyzer
- Dmarcian
- Valimail
- Postmark DMARC
Comprobar DMARC
La API de autenticación de correo electrónico de DomScan requiere autenticación, cuesta 3 créditos por dominio y devuelve el registro DMARC y las etiquetas analizadas.
dig _dmarc.example.com TXTcurl -H "X-API-Key: $DOMSCAN_API_KEY" "https://domscan.net/v1/email-auth?domain=example.com"
# Check dmarc.record and dmarc.tags in the JSON response
Problemas habituales de DMARC
No se reciben informes: Asegúrate de que la dirección rua pueda recibir correos electrónicos grandes; algunos proveedores los filtran. El correo legítimo falla: Comprueba la configuración de SPF/DKIM de todos los servicios de envío; verifica la alineación. Fallos en servicios de terceros: Muchos servicios requieren una configuración DKIM personalizada para la alineación DMARC.DMARC añade la alineación, una preferencia de gestión solicitada y la capacidad de generar informes a SPF y DKIM. Revisa tus fuentes de envío y tus informes antes de solicitar una gestión más estricta.