Por qué la autenticación de email es esencial
Tres pilares que se complementan
SPF dice qué servidores tienen derecho a enviar para su dominio. La regla se publica en un registro TXT en el apex. Bien configurado, limita la suplantación. Demasiado permisivo, deja pasar abusos.
DKIM firma sus mensajes. La clave pública reside en un TXT bajo selector._domainkey. Una firma válida prueba que el mensaje no ha sido modificado e indica qué dominio lo firmó.
DMARC vincula la dirección visible con SPF y DKIM. Si SPF o DKIM pasa y está alineado con el dominio del remitente, el mensaje se considera conforme. La política decide entonces el tratamiento en caso de fallo: observación, cuarentena o rechazo.
Lo que ve un servidor destinatario
Al recibir, el servidor lee sus registros DNS y luego añade una cabecera Authentication Results. Allí encontramos spf pass o fail, dkim pass o fail, dmarc pass o fail, con el dominio evaluado. Esta cabecera es su fuente de verdad. Confirma el efecto real de sus configuraciones, más allá de la teoría.
Lo que cambia BIMI
BIMI no es un filtro antispam. Muestra un logo validado cuando DMARC está en su lugar con una política aplicada. El logo se solicita mediante un registro DNS dedicado y a veces un certificado VMC. Resultado simple: el destinatario identifica mejor su marca y detecta más rápido una falsificación.
Los errores más comunes
- Dos SPF en el mismo nombre. Hay que fusionar en un solo valor.
- Un SPF que supera el límite de búsquedas DNS. Hay que simplificar los include.
- Un selector DKIM mal escrito. La clave se vuelve imposible de encontrar.
- Una clave pública truncada. La verificación falla silenciosamente.
- Un DMARC sin alineación. El mensaje pasa en teoría pero no protege la identidad.
- Informes DMARC enviados a un buzón no monitoreado. Pierde la observabilidad.
TTL y la famosa propagación
La red no "propaga" en sentido estricto. Almacena en caché según el TTL. Un TTL corto ayuda durante una actualización. Un TTL demasiado corto a largo plazo sobrecarga innecesariamente y complica el diagnóstico. Un TTL medio estabiliza una configuración validada. Reduzca antes de un cambio. Restaure después.
Cómo usar la caja de herramientas CaptainDNS
Validadores de sintaxis SPF DKIM DMARC
Los validadores leen sus registros y explican cada elemento.
SPF controles útiles: orden de los mecanismos, include, redirect, presencia de all, conteo de consultas DNS, IP y dominios inexistentes. El objetivo es mantenerse bajo el límite de diez búsquedas y evitar bucles.
DKIM lectura de las etiquetas v, k, p, t, s. Verificación de la longitud de la clave pública, detección de cortes, caracteres no válidos, y recordatorio de buenas prácticas de rotación de claves.
DMARC lectura de las etiquetas v, p, sp, adkim, aspf, pct, rua, ruf. Verificación de la alineación elegida y de la validez de las direcciones de informe. Los validadores explican la consecuencia de cada etiqueta en la vida real.
Inspectores de registros en vivo
Los inspectores resuelven el DNS y muestran la respuesta tal como se ve desde Internet.
Inspector SPF: desarrolla la cadena include, muestra los dominios llamados y dónde se superaría el límite de búsquedas.
Inspector DKIM: resuelve el selector, extrae la clave pública y controla la coherencia del formato.
Inspector DMARC: lee _dmarc.dominio, muestra la política activa, las direcciones rua y ruf y muestra si el porcentaje de aplicación es parcial.
Estas herramientas sirven para verificar el presente, no la teoría. Ideal para un ticket o una puesta en producción.
Control de preparación de email
Este control lee MX, SPF, DKIM y DMARC de una vez para responder a una pregunta simple: ¿está el dominio listo para enviar? También señala la causa más probable de un fallo: SPF demasiado permisivo, clave DKIM faltante, política DMARC no aplicada, alineación estricta que falla en un subdominio, MX que apunta a un CNAME.
Generador de registros DMARC
El generador te ayuda a crear registros DMARC completos y conformes con RFC.
- Configuración de dominio: entrada simple con generación automática del hostname _dmarc.
- Políticas flexibles: elije entre none, quarantine y reject con gestión de subdominios.
- Informes integrados: direcciones rua/ruf con validación y guía de implementación.
- Opciones avanzadas: alineación DKIM/SPF, porcentajes, intervalos y opciones de fallo.
La herramienta genera el registro completo listo para publicación y guía al inspector para verificación post-despliegue.
BIMI en producción
El validador BIMI comprueba la estructura del registro, prueba la URL HTTPS del logotipo, verifica los requisitos Tiny-PS y descarga el VMC cuando existe. Unido a un DMARC con política quarantine o reject, asegura la visualización fiable de su logotipo en los buzones compatibles.
Método aconsejado para una puesta en producción
- Documentar el estado inicial. Capturas DNS y ejemplos de Authentication Results.
- Reducir el TTL antes de la modificación.
- Desplegar un SPF limpio y único. Verificar en vivo con el inspector.
- Publicar la clave DKIM en un nuevo selector. Probar la firma en salida.
- Activar DMARC en p=none, analizar los informes, corregir y después aplicar.
- Incorporar BIMI cuando DMARC esté aplicado y el logo/VMC superen la validación.
- Restaurar un TTL cómodo cuando todo esté estable.
Seguimiento y vida cotidiana
Las configuraciones evolucionan a lo largo de los proveedores, subdominios, microservicios y campañas puntuales. Mantenga un ciclo simple: control regular, lectura de informes, rotación de claves, limpieza de include y selectores obsoletos. Un cambio debe siempre dejar rastro: fecha, autor, valor anterior, valor nuevo, razón. Esto acorta cada diagnóstico.
Para resumir, la caja de herramientas de autenticación de email le permite validar la sintaxis, verificar la respuesta real, preparar una política DMARC que realmente se aplique, y activar un BIMI limpio. Pruebas claras, pasos simples, mensajes que llegan y una identidad protegida.