DMARC (Autenticación, Notificación y Conformidad de Mensajes Basadas en el Dominio) es una política de DNS que indica a los servidores receptores qué hacer con el correo que afirma proceder de su dominio cuando no supera la autenticación —entregarlo, ponerlo en cuarentena o rechazarlo— y adónde enviar los informes al respecto.
Cómo funciona
Usted publica un registro TXT en _dmarc.yourdomain. Un mensaje supera la verificación DMARC cuando supera las verificaciones de SPF o DKIM y el dominio que ha superado dichas verificaciones coincide con el dominio que figura en la dirección «De» visible. Esa coincidencia es la parte que SPF y DKIM no pueden garantizar por sí solos, y es lo que, en última instancia, impide que alguien utilice su dominio en el campo «De». La norma es la RFC 7489.
Las tres políticas
p=none: solo supervisión. No se bloquea nada; recibirá informes que muestran quién está enviando mensajes utilizando su dominio. Es el punto de partida adecuado.p=quarantine: el correo que no supera la verificación se trata como sospechoso y, por lo general, se envía a la carpeta de spam.p=reject: el correo que no supera la comprobación se rechaza de inmediato. Este es el objetivo.
La etiqueta «rua=» indica una dirección para los informes agregados diarios. Esos informes le permiten descubrir la herramienta de boletines olvidada que envía mensajes utilizando su dominio antes de que una política estricta comience a rechazar su correo.
Cómo comprobar el suyo
dig +short TXT _dmarc.yourdomain.comDMARC en Mailotte
mailotte.com publica «p=reject», la política más estricta: el correo falsificado como si procediera de mailotte.com se rechaza, no se pone en cuarentena. Cuando conecte su propio dominio, Mailotte le pedirá que comience con «p=none» y los informes activados —primero se realiza un seguimiento, para que no se rechace nada de lo que usted utilice habitualmente mientras averigua qué más se envía utilizando su dominio—. Pase a la cuarentena y, a continuación, al rechazo una vez que los informes estén limpios.
Preguntas
¿Debería comenzar con «p=reject»?
Solo si tiene la certeza de que todos los servicios que envían correo en nombre de su dominio están protegidos por SPF o DKIM. De lo contrario, comience con «p=none», lea los informes, corrija lo que indiquen y, a continuación, endurezca la política.
¿Qué es la alineación DMARC?
El requisito de que el dominio que haya superado la verificación de SPF o DKIM coincida con el dominio que figura en la dirección «De» visible. Es lo que impide que un mensaje firmado por el dominio de un estafador pase por ser suyo.
¿Necesito DMARC si ya dispongo de SPF y DKIM?
Sí. Sin él, nada vincula esas comprobaciones con la dirección «De» que los destinatarios leen realmente, y los receptores no tienen instrucciones sobre qué hacer con el correo que no supera las comprobaciones.
Términos relacionados
- SPF — Sender Policy Framework
- DKIM — DomainKeys Identified Mail
- MTA-STS — Seguridad de transporte estricta para el MTA SMTP
- Todos los términos