Generador de registros DMARC

¿Qué es DMARC y por qué lo necesitas?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) es el tercer pilar de la autenticación de email, sobre SPF y DKIM. Indica a los servidores receptores qué hacer cuando un mensaje falla las comprobaciones de autenticación y a dónde enviar informes de esos fallos. Sin DMARC, tener SPF y DKIM es necesario pero no suficiente: un atacante aún puede falsificar tu dirección From visible aunque SPF y DKIM pasen en otro dominio.

Gmail, Yahoo y Microsoft han convertido DMARC en requisito para remitentes masivos. Los dominios sin política DMARC sufren más filtrado de spam y peor colocación en la bandeja en los grandes proveedores.

Los tres niveles de política DMARC

DMARC usa un despliegue gradual con tres niveles de política. La secuencia recomendada es empezar en none, pasar a quarantine y llegar finalmente a reject.

• p=none — Solo monitorizar. Los mensajes fallidos se entregan con normalidad, pero se envían informes agregados a la dirección rua. Úsalo para descubrir todas tus fuentes de envío antes de forzar la política.
• p=quarantine — Los mensajes fallidos van a spam. Úsalo cuando hayas verificado que tu correo legítimo pasa la autenticación.
• p=reject — Los mensajes fallidos se rechazan de plano. Es la protección más fuerte y el objetivo de la mayoría de dominios.

Comprender la alineación DMARC

DMARC pasa cuando SPF o DKIM pasan y el dominio autenticado se alinea con el dominio de la cabecera From. La alineación relajada (r) permite coincidencias de subdominio: por ejemplo, mail.example.com se alinea con example.com. La alineación estricta (s) exige una coincidencia exacta de dominio. Empieza con alineación relajada y solo pasa a estricta si tienes un motivo concreto.

Informes DMARC: rua vs ruf

La etiqueta rua especifica el email para informes agregados: resúmenes XML diarios de resultados de autenticación de remitentes de todo el mundo. Son esenciales para entender tu huella de envío y detectar remitentes no autorizados. La etiqueta ruf especifica la dirección de informes forenses (de fallo), con detalles de mensajes individuales fallidos. Los informes forenses tienen menos soporte y pueden incluir contenido del mensaje, por lo que requieren un manejo más cuidadoso.

Puedes recibir informes en cualquier email, incluso en otro dominio. Algunas organizaciones usan servicios dedicados de procesamiento de informes DMARC para analizar y visualizar datos XML agregados.

Completar la configuración de autenticación de email

DMARC funciona mejor como capa final sobre SPF y DKIM. Configura SPF para autorizar tus IP de envío, activa la firma DKIM en tu servidor o proveedor de email y luego añade una política DMARC para unirlo todo y recibir informes.

La autenticación te protege del abuso de dominio. La higiene de listas protege tu reputación de remitente. Usa verificación de email para eliminar direcciones inválidas antes de cada envío, o revisa listas grandes con verificación masiva de email. Consulta precios para planes de verificación.