Por qué la autenticación de email es esencial
Tres piezas que se complementan
SPF indica qué servidores tienen derecho a enviar para tu dominio. La regla se publica en un registro TXT en el apex. Bien configurado, limita la suplantación. Demasiado permisivo, deja pasar abusos.
DKIM firma tus mensajes. La clave pública vive en un TXT bajo selector._domainkey. Una firma válida demuestra que el mensaje no ha sido modificado e indica qué dominio lo firmó.
DMARC vincula la dirección visible a SPF y DKIM. Si SPF o DKIM pasa y está alineado con el dominio del remitente, el mensaje se considera conforme. La política decide entonces el tratamiento en caso de fallo: observación, cuarentena o rechazo.
Lo que ve un servidor destinatario
Al recibir, el servidor lee tus registros DNS y añade una cabecera Authentication-Results. Encontrarás spf=pass o fail, dkim=pass o fail, dmarc=pass o fail, con el dominio evaluado. Esta cabecera es tu verdad de campo. Confirma el efecto real de tu configuración, más allá de la teoría.
Lo que cambia BIMI
BIMI no es un filtro antispam. Muestra un logo validado cuando DMARC está en su lugar con una política aplicada. El logo se solicita mediante un registro DNS dedicado y a veces un certificado VMC. Resultado: el destinatario identifica mejor tu marca y detecta un falso más rápido.
Los errores más comunes
- Dos SPF con el mismo nombre → Fusionar en un único valor
- SPF que supera 10 lookups → Simplificar los include o usar el SPF Flattener
- Selector DKIM mal escrito → La clave se vuelve imposible de encontrar
- Clave pública truncada → La verificación falla silenciosamente
- DMARC sin alineamiento → El mensaje pasa pero no protege la identidad
- Reportes DMARC a buzón no supervisado → Pierdes observabilidad
TTL y propagación DNS
La red no "propaga" en sentido estricto. Almacena en caché según el TTL. Un TTL corto ayuda durante una actualización. Un TTL demasiado corto a largo plazo sobrecarga innecesariamente. Un TTL medio (3600-86400s) estabiliza una configuración validada. Reduce antes de un cambio, restaura después.
Cómo usar la caja de herramientas CaptainDNS
Validadores de sintaxis SPF, DKIM, DMARC
Los validadores leen tus registros brutos y explican cada elemento:
SPF: orden de mecanismos, include, redirect, presencia de all, conteo de consultas DNS, IPs y dominios inexistentes. El objetivo es mantenerse bajo 10 lookups y evitar bucles.
DKIM: lectura de etiquetas v, k, p, t, s. Verificación de longitud de clave, detección de truncamientos, caracteres inválidos y mejores prácticas de rotación.
DMARC: lectura de etiquetas v, p, sp, adkim, aspf, pct, rua, ruf. Verificación del alineamiento elegido y validez de direcciones de reporte.
Inspectores de registros en directo
Los inspectores resuelven DNS y muestran la respuesta tal como se ve desde Internet:
- Inspector SPF: despliega la cadena include, muestra los dominios llamados y dónde se superaría el límite
- Inspector DKIM: resuelve el selector, extrae la clave pública y verifica la consistencia del formato
- Inspector DMARC: lee _dmarc.dominio, muestra la política activa, direcciones rua/ruf y porcentaje de aplicación
Estas herramientas verifican el presente, no la teoría. Ideal para un ticket o un despliegue en producción.
Auditoría de entregabilidad de email
Este control analiza MX, SPF, DKIM y DMARC simultáneamente para responder una pregunta simple: ¿está el dominio listo para enviar? También señala la causa más probable de fallo: SPF demasiado permisivo, clave DKIM faltante, política DMARC no aplicada, alineamiento estricto que falla en un subdominio, MX apuntando a un CNAME.
Generador de registro DMARC
El generador te ayuda a crear registros DMARC completos y conformes con las RFC:
- Configuración de dominio: entrada simple con generación automática del hostname _dmarc
- Políticas flexibles: elige entre none, quarantine y reject con gestión de subdominios
- Reportes integrados: direcciones rua/ruf con validación y guía de implementación
- Opciones avanzadas: alineamientos DKIM/SPF, porcentajes, intervalos y opciones de fallo
La herramienta genera el registro completo listo para publicar y guía al inspector para verificación post-despliegue.
BIMI operacional
El validador BIMI controla la estructura del registro, prueba la URL HTTPS del logo, verifica las restricciones Tiny-PS y descarga el VMC cuando está disponible. Combinado con DMARC aplicado en quarantine o reject, asegura la visualización de tu logo en clientes webmail compatibles.
MTA-STS para seguridad del transporte
MTA-STS (RFC 8461) añade una capa crítica de protección al imponer cifrado TLS para el correo entrante. Sin MTA-STS, el TLS oportunista puede ser degradado por atacantes. Con MTA-STS, los servidores emisores deben usar TLS o rechazar la entrega.
Herramientas MTA-STS
Validador de sintaxis: Pega tu registro DNS TXT y el contenido del archivo de política. El validador verifica versión, modo, patrones MX y directivas max_age antes de publicar.
Inspector de registro: Introduce un dominio para obtener el registro MTA-STS y archivo de política en directo. Verifica certificados TLS y cruza patrones MX con servidores de correo reales.
Generador: Crea registros y archivos de política MTA-STS conformes. Configura modo testing o enforce, añade patrones MX, establece duración de caché. Salida lista para copiar con instrucciones de despliegue.
Despliegue MTA-STS recomendado
- Genera el registro DNS TXT y el archivo de política
- Aloja el archivo de política en
https://mta-sts.tudominio.com/.well-known/mta-sts.txt - Publica el registro DNS TXT en
_mta-sts.tudominio.com - Empieza en modo testing para identificar problemas sin romper la entrega
- Cambia a enforce una vez verificado que todos los servidores MX soportan TLS
- Monitorea con TLS-RPT para recibir informes de fallos
Método recomendado para despliegue en producción
- Documentar estado inicial: capturas DNS y ejemplos de Authentication-Results
- Reducir TTL antes de cambios (300-600s)
- Desplegar SPF limpio y único, verificar con el inspector
- Publicar clave DKIM en un nuevo selector, probar la firma
- Activar DMARC en p=none, analizar reportes, corregir y luego aplicar
- Añadir BIMI cuando DMARC esté aplicado y logo/VMC pasen validación
- Restaurar TTL cómodo (3600-86400s) cuando esté estable
Seguimiento y operación diaria
Las configuraciones evolucionan con proveedores, subdominios, microservicios y campañas puntuales. Mantén un ciclo simple: control regular, lectura de reportes, rotación de claves, limpieza de includes y selectores obsoletos. Un cambio debe siempre dejar rastro: fecha, autor, valor anterior, valor nuevo, razón. Esto acorta cada diagnóstico.
Herramientas complementarias
| Herramienta | Utilidad |
|---|---|
| Verificador de propagación DNS | Confirmar que tus cambios DNS son visibles mundialmente |
| Búsqueda DNS | Consultar cualquier tipo de registro DNS |
| Whois IP | Identificar el propietario de una dirección IP |
| Verificador blacklist IP | Verificar si tu IP está en una lista negra |
| Verificador blacklist dominio | Verificar si tu dominio está en lista negra |
Recursos útiles
- RFC 7208 - Sender Policy Framework (SPF) (especificación oficial)
- RFC 6376 - DomainKeys Identified Mail (DKIM) (especificación oficial)
- RFC 7489 - Domain-based Message Authentication (DMARC) (especificación oficial)
- Google - Directrices para remitentes de email (requisitos Gmail)
- Microsoft - Autenticación de email en Microsoft 365 (guía Outlook/M365)