Herramienta gratuita de monitoring DMARC

¿Por qué monitorear los informes DMARC?

La supervisión DMARC revela quién envía correo en tu nombre y cuáles de esos envíos pasan la autenticación. Es la única forma de saberlo.

DMARC (Domain-based Message Authentication, Reporting and Conformance, RFC 7489) unifica SPF y DKIM para cerrar tu dominio al phishing y la suplantación de correo. Publicar el registro es el paso uno. Sin informes, lo demás es a ciegas. Ignoras qué fuentes emiten en tu nombre, si tus flujos legítimos realmente se alinean con SPF y DKIM, y si un tercero explota tu dominio para spam.

Cuatro problemas aparecen en casi cada auditoría de informes DMARC.

Un CRM, una plataforma de newsletter o una herramienta de facturación envía por tu dominio sin alineamiento SPF ni DKIM correcto. Resultado: spam o rechazo. Es el caso más frecuente.

La suplantación, después. Atacantes falsifican tu dirección From para hacer phishing. Sin informes agregados, esas campañas quedan invisibles hasta que un cliente se queja.

Una migración de correo mal hecha deja al antiguo proveedor emitir correo no alineado durante semanas. Tu tasa de cumplimiento cae, y nadie entiende por qué.

Y el shadow IT: un servicio interno envía sin autorización. Los informes DMARC sacan a esos remitentes desconocidos de la sombra.

Cómo funciona la autenticación DMARC

DMARC valida que al menos SPF o DKIM pase y se alinee con el dominio del encabezado From. Dos protocolos debajo, una sola decisión encima.

SPF (RFC 7208) y DKIM (RFC 6376) autentican cada uno un aspecto distinto del mensaje. SPF verifica el servidor de envío. DKIM verifica una firma. DMARC decide.

Todo depende del alineamiento. SPF y DKIM pasan ambos, y DMARC falla igual si ninguno se alinea con el dominio del From. ¿Extraño? No tanto: es justo ese hueco el que explotan los suplantadores, y la primera causa de fallo que revelan los informes.

DMARC también dicta la suerte del correo no autenticado: dejarlo pasar (p=none), enviarlo a cuarentena (p=quarantine) o rechazarlo (p=reject).

Cómo configurar el monitoring DMARC en 3 pasos

Paso 1: Agrega tu dominio y verifica la propiedad

Inicia sesión y registra el dominio que deseas monitorear. Agrega el registro TXT de verificación de CaptainDNS a tu DNS. Este sistema de verificación se comparte entre todos los servicios de CaptainDNS (hosting MTA-STS, monitoring TLS-RPT, hosting BIMI).

Paso 2: Configura tu registro DNS DMARC

El asistente analiza el estado DNS actual y propone el registro exacto a publicar:

• Sin registro DMARC existente: se genera un registro completo con p=none y nuestra dirección rua=
• Registro DMARC existente: tu política, configuración de alineamiento y direcciones rua= existentes se preservan; nuestra dirección se añade automáticamente
• Registro existente inválido: el problema se señala y se propone un reemplazo limpio

Solo copia el host (_dmarc.tudominio.com) y el valor, luego pégalos en tu proveedor DNS.

Paso 3: Los informes se reciben y analizan automáticamente

Los proveedores de correo comienzan a enviar informes agregados en las siguientes 24 a 48 horas. CaptainDNS los ingiere, descomprime el XML, analiza los resultados de autenticación y muestra los hallazgos en tu panel: puntuaciones de cumplimiento, IPs de origen, tasas de éxito/fallo y disposiciones aplicadas.

Comprender los informes DMARC agregados

Un informe DMARC agregado es un archivo XML que resume, por IP de origen, todos los resultados de autenticación sobre tu dominio durante una ventana dada.

Google, Microsoft, Yahoo y Apple lo envían a la dirección de tu tag rua=, en general cada 24 horas. Cada informe cubre un período, y cada fila describe una fuente que emitió usando tu dominio.

RUA vs RUF: informes agregados vs informes de fallo

DMARC define dos tipos de informes:

CaptainDNS se centra en los informes agregados (RUA), que proporcionan los datos necesarios para el seguimiento del cumplimiento y la identificación de fuentes. Los informes forenses rara vez están disponibles en la práctica.

¿Qué contiene un informe DMARC agregado?

Ejemplo de un informe DMARC agregado

Aquí tienes un extracto simplificado de un informe DMARC agregado en formato XML:

<?xml version="1.0" encoding="UTF-8"?>
<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <date_range>
      <begin>1710201600</begin>
      <end>1710288000</end>
    </date_range>
  </report_metadata>
  <policy_published>
    <domain>captaindns.com</domain>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>203.0.113.1</source_ip>
      <count>1547</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <row>
      <source_ip>198.51.100.42</source_ip>
      <count>23</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
  </record>
</feedback>

La primera fila muestra 1.547 mensajes de una fuente legítima que pasa ambos controles. La segunda fila revela 23 mensajes de una IP desconocida que falla tanto SPF como DKIM, un posible intento de suplantación. CaptainDNS analiza estos informes automáticamente y presenta los datos en tu panel. Para decodificar puntualmente un informe XML que recibiste, nuestro lector de informes DMARC muestra su contenido de forma legible.

Referencia de tags del registro DMARC

Un registro TXT DMARC se publica en _dmarc.tudominio.com. Estos son los tags disponibles:

Usa nuestro Generador DMARC para crear un registro válido, o el Verificador de sintaxis DMARC para validar uno existente.

Del monitoring a la aplicación: el camino hacia p=reject

DMARC solo bloquea la suplantación de verdad con p=reject. Cualquier mensaje falsificado queda rechazado en la puerta. Saltar directo a reject sin informes es jugar a la ruleta: tus remitentes legítimos mal alineados caen también, y su correo desaparece.

Progresión recomendada:

1. p=none (solo monitoring): recopila informes durante 2 a 4 semanas. Identifica todas las fuentes legítimas y corrige cualquier problema de alineamiento SPF/DKIM. Objetivo: tasa de cumplimiento superior al 95%.

2. p=quarantine (aplicación parcial): los mensajes que fallan se envían a spam en lugar de la bandeja de entrada. Usa pct=25 inicialmente, luego aumenta al 50% y 100% durante 2 a 4 semanas. Monitorea si correo legítimo está siendo puesto en cuarentena.

3. p=reject (aplicación total): los mensajes que fallan se descartan. La suplantación de dominio queda completamente bloqueada. Empieza con pct=25, luego aumenta hasta el 100%.

Plazo: La mayoría de las organizaciones completan este proceso en 4 a 8 semanas. No te apresures. Cada etapa debe confirmar que ningún flujo de correo legítimo se ve afectado.

Alcanzar p=reject también desbloquea BIMI (Brand Indicators for Message Identification), que muestra el logotipo de tu marca junto a tus emails en los buzones compatibles.

Requisitos DMARC de Google y Yahoo

Desde febrero de 2024, Google y Yahoo rechazan el correo de los remitentes masivos que no tienen DMARC publicado. El umbral: 5.000 mensajes por día hacia Gmail o Yahoo.

Cuatro obligaciones se aplican a esos volúmenes grandes. Hace falta un registro DMARC con al menos p=none. SPF y DKIM deben estar configurados los dos, no uno u otro. El dominio del From debe alinearse con uno de los dos. Y los emails de marketing deben llevar la desuscripción en un clic de la RFC 8058.

Sin supervisión de los informes, es imposible probar que tus fuentes pasan estos controles ni mantener la tasa de cumplimiento en el tiempo. Los remitentes no conformes ven su correo aplazado por errores 4xx, y luego rechazado. Ya ocurrió a gran escala en la primavera de 2024.

Fallos DMARC comunes y cómo corregirlos

La mayoría de los fallos DMARC se deben a seis causas: alineamiento SPF roto, alineamiento DKIM roto, SPF por encima de 10 consultas DNS, terceros sin ninguna autenticación, subdominio no cubierto, reenvío que rompe SPF. Cada una tiene una solución precisa.

Casos de uso reales

Caso 1: Identificar un servicio de terceros mal configurado

Síntoma: La tasa de cumplimiento DMARC cae del 98% al 72% en una semana.

Diagnóstico: El panel muestra una nueva IP de origen enviando un volumen significativo sin alineamiento DKIM. Se trata del nuevo CRM de marketing, configurado sin firma DKIM para tu dominio.

Acción: Configura la firma DKIM en el CRM. La tasa de cumplimiento se recupera en los informes siguientes.

Caso 2: Detectar suplantación de dominio

Síntoma: IPs de origen desconocidas aparecen en los informes, enviando correo en nombre de tu dominio con fallo total en SPF y DKIM.

Diagnóstico: Los informes DMARC revelan intentos de phishing desde servidores en jurisdicciones sospechosas. Tu política p=none deja pasar estos mensajes.

Acción: Cambia progresivamente tu política de p=none a p=quarantine y luego a p=reject. Los informes siguientes confirman que los mensajes fraudulentos están siendo rechazados.

Caso 3: Cumplir los requisitos de remitentes masivos de Google

Síntoma: Gmail comienza a aplazar tus emails de marketing con errores temporales 4xx. Las tasas de entrega caen.

Diagnóstico: El monitoring DMARC muestra que tu plataforma de newsletter envía correo sin alineamiento DKIM con el dominio del encabezado From. La política de remitentes masivos de Google exige cumplimiento de autenticación.

Acción: Configura la firma DKIM para tu dominio en la plataforma de newsletter y verifica el alineamiento a través de los informes DMARC. Las tasas de entrega vuelven a la normalidad en días.

FAQ - Preguntas frecuentes

P: ¿Qué es el monitoring DMARC?

R: El monitoring DMARC consiste en recibir y analizar los informes agregados (rua) enviados por los proveedores de correo. Estos informes muestran qué fuentes envían correo en nombre de tu dominio y si pasan los controles SPF y DKIM con el alineamiento correcto.

P: ¿Cuál es la diferencia entre los informes agregados DMARC (RUA) y los informes de fallo (RUF)?

R: Los informes agregados (rua) se envían diariamente y contienen datos de autenticación resumidos por IP de origen. Los informes de fallo (ruf) se envían por cada fallo individual e incluyen más detalle, como los encabezados del mensaje. La mayoría de los proveedores solo envían informes agregados. CaptainDNS se centra en el análisis de informes agregados.

P: ¿Cómo funciona DMARC con SPF y DKIM?

R: DMARC se basa en SPF y DKIM añadiendo el alineamiento de identificadores. SPF valida la IP del remitente del sobre, DKIM valida una firma criptográfica, y DMARC verifica que al menos uno pase con alineamiento al dominio del encabezado From. El monitoring revela cuándo falla el alineamiento.

P: ¿Con qué política DMARC debería empezar?

R: Empieza con p=none para monitorear sin afectar la entrega del correo. Una vez que tu tasa de cumplimiento DMARC esté consistentemente por encima del 95%, pasa a p=quarantine. Tras confirmar que ningún correo legítimo se ve afectado, establece p=reject para una protección total contra la suplantación.

P: ¿Cómo configuro el monitoring DMARC?

R: Agrega tu dominio en CaptainDNS, verifica la propiedad mediante el registro TXT y luego sigue el asistente de configuración que detecta tu registro DMARC actual y propone la actualización exacta necesaria. Los informes comienzan a llegar en las siguientes 24 a 48 horas.

P: ¿El monitoring DMARC es gratuito con CaptainDNS?

R: Sí, completamente gratuito para 1 dominio (pasa a Starter para 25). Sin costes ocultos, sin período de prueba. Cada dominio debería poder monitorear sus informes DMARC agregados independientemente del presupuesto.

P: ¿Google y Yahoo exigen DMARC?

R: Sí. Desde febrero de 2024, Google y Yahoo exigen a los remitentes masivos (5.000+ mensajes por día) que publiquen un registro DMARC. El monitoring te ayuda a cumplir y mantener estos requisitos rastreando el cumplimiento de autenticación.

P: ¿Qué ocurre si establezco mi política DMARC en reject?

R: Con p=reject, los servidores receptores descartan los mensajes que fallan tanto en el alineamiento SPF como DKIM. Esto previene completamente la suplantación de dominio, pero puede bloquear correo legítimo si los remitentes de terceros no están correctamente configurados. Siempre monitorea primero con p=none.

P: ¿Cuánto tiempo tarda en recibir informes DMARC?

R: La mayoría de los proveedores de correo envían informes agregados cada 24 horas. Tras publicar tu dirección rua=, espera los primeros informes en las siguientes 24 a 48 horas dependiendo de tu volumen de correo.

P: ¿Cuál es la relación entre el monitoring DMARC y un registro DMARC?

R: El registro DMARC define tu política de autenticación (none, quarantine, reject) y el tag rua= especifica dónde enviar los informes. El monitoring DMARC analiza esos informes para mostrarte quién usa tu dominio y si la autenticación funciona correctamente.

Herramientas complementarias

Recursos útiles

• RFC 7489: DMARC, especificación oficial DMARC
• RFC 7208: SPF, Sender Policy Framework
• RFC 6376: DKIM, DomainKeys Identified Mail
• Google: Directrices para remitentes de correo, requisitos para remitentes masivos
• Yahoo: Mejores prácticas para remitentes, requisitos de autenticación de Yahoo
• M3AAWG Best Practices, recomendaciones del Messaging Anti-Abuse Working Group