¿Por qué inspeccionar su registro DMARC?
Un registro DMARC mal configurado en DNS puede:
- Ser ignorado por los servidores destinatarios (Gmail, Outlook, Yahoo)
- Bloquear sus emails legítimos si la política es demasiado estricta demasiado pronto
- Dejar su dominio vulnerable al spoofing y phishing si la política está ausente
El inspector DMARC (DMARC record checker, DMARC lookup) consulta el DNS en tiempo real para mostrar exactamente lo que ven los servidores destinatarios. Usted detecta errores de publicación antes de que impacten su entregabilidad.
Casos de uso comunes:
- Después de publicar → Verificar que el registro está correctamente propagado
- Problemas de entregabilidad → Diagnosticar una configuración DMARC defectuosa
- Auditoría de seguridad → Validar la protección contra spoofing de un dominio
Cómo usar el inspector DMARC en 3 pasos
Paso 1: Ingresar el dominio a analizar
Ingrese el dominio exactamente como aparece en sus direcciones de email:
captaindns.com(dominio principal)marketing.captaindns.com(subdominio si envía desde un subdominio)
La herramienta consulta automáticamente _dmarc.dominio y recupera el registro TXT publicado.
Paso 2: Analizar los resultados
El inspector muestra:
| Elemento | Descripción |
|---|---|
| Política (p=) | none, quarantine o reject - tratamiento de emails no autenticados |
| Política subdominios (sp=) | Política específica para subdominios si es diferente |
| Alineación DKIM (adkim=) | strict (s) o relaxed (r) - correspondencia dominio DKIM/From |
| Alineación SPF (aspf=) | strict (s) o relaxed (r) - correspondencia dominio SPF/From |
| Porcentaje (pct=) | Parte del tráfico sujeta a la política |
| Reportes agregados (rua=) | Destinos de reportes XML diarios |
| Reportes forenses (ruf=) | Destinos de reportes por mensaje |
Paso 3: Corregir las alertas
Los resultados se clasifican por nivel de gravedad:
- ❌ Error → Problema bloqueante, el registro es ignorado
- ⚠️ Advertencia → Funcional pero mejora recomendada
- ✅ Válido → Configuración correcta
Corrija los errores en su DNS, espere la propagación, luego ejecute la inspección nuevamente.
¿Qué es DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) es un protocolo que:
- Vincula SPF y DKIM al dominio visible en la dirección From
- Define una política de tratamiento de emails no autenticados
- Genera reportes para seguir la autenticación de sus emails
El registro DMARC se publica como un registro TXT en _dmarc.sudominio.com.
Ejemplo de registro DMARC:
v=DMARC1; p=quarantine; rua=mailto:dmarc@captaindns.com; adkim=r; aspf=r; pct=100
Este registro indica:
- Poner en cuarentena (spam) los emails no autenticados
- Enviar los reportes a dmarc@captaindns.com
- Usar alineación relaxed para DKIM y SPF
- Aplicar la política al 100% de los mensajes
Lo que verifica el inspector DMARC
Resolución DNS
| Verificación | Error si... |
|---|---|
| Registro TXT existe | Ningún TXT en _dmarc.dominio |
| Registro DMARC presente | TXT existe pero no comienza con v=DMARC1 |
| Registro único | Múltiples registros DMARC (conflicto) |
| Sin CNAME | _dmarc apunta a un CNAME (prohibido por RFC) |
Etiquetas obligatorias
| Etiqueta | Verificación |
|---|---|
| v= | Debe ser DMARC1 en primera posición |
| p= | Debe ser none, quarantine o reject |
Política y alineación
| Etiqueta | Valores aceptados | Verificación |
|---|---|---|
| p | none, quarantine, reject | Política coherente con el nivel de madurez |
| sp | none, quarantine, reject | Si presente, política de subdominios válida |
| adkim | r (relaxed), s (strict) | Modo de alineación DKIM válido |
| aspf | r (relaxed), s (strict) | Modo de alineación SPF válido |
| pct | 1-100 | Porcentaje dentro de los límites |
Destinos de reportes
| Etiqueta | Verificación |
|---|---|
| rua | Formato mailto: válido, dominio externo autorizado |
| ruf | Formato mailto: válido, dominio externo autorizado |
Autorización externa: Si rua o ruf apunta a un dominio diferente (ej: rua=mailto:reports@otrodominio.com), el dominio destinatario debe publicar _report._dmarc.sudominio.com para autorizar la recepción.
Diagnósticos comunes y soluciones
DMARC_NOT_FOUND - Registro ausente
Causa: No existe ningún registro TXT en _dmarc.sudominio.com
Solución:
- Cree un registro TXT en
_dmarc.sudominio.com - Contenido mínimo:
v=DMARC1; p=none; rua=mailto:dmarc@sudominio.com - Publique y espere la propagación DNS
DMARC_MULTIPLE_RECORDS - Múltiples registros
Causa: Más de un registro TXT DMARC existe en _dmarc.sudominio.com
Solución:
- Identifique todos los registros DMARC en su DNS
- Conserve únicamente el que desea aplicar
- Elimine los duplicados
MISSING_POLICY - Etiqueta p= ausente
Causa: El registro contiene v=DMARC1 pero no tiene etiqueta p=
Solución: Agregue una política: v=DMARC1; p=none; ...
INVALID_RUA_URI - URI de reporte inválido
Causa: La etiqueta rua contiene una dirección mal formateada
Ejemplos de corrección:
- rua=reports@captaindns.com # Falta mailto:
+ rua=mailto:reports@captaindns.com
- rua=mailto: reports@captaindns.com # Espacio prohibido
+ rua=mailto:reports@captaindns.com
Progresión hacia una política DMARC estricta
Fase 1: Observación (p=none)
v=DMARC1; p=none; rua=mailto:dmarc@captaindns.com
- Sin impacto en la entregabilidad
- Recopile reportes durante 2-4 semanas
- Identifique todas las fuentes de envío legítimas
- Configure SPF y DKIM para cada fuente
Fase 2: Cuarentena progresiva
v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@captaindns.com
- Comience con el 10% del tráfico
- Monitoree los reportes para detectar falsos positivos
- Aumente progresivamente: 10% → 25% → 50% → 100%
Fase 3: Rechazo (protección máxima)
v=DMARC1; p=reject; rua=mailto:dmarc@captaindns.com
- Los emails no autenticados son rechazados
- Protección completa contra spoofing
- Mantenga el monitoreo de reportes
FAQ - Preguntas frecuentes
P: ¿Cuál es la diferencia entre el inspector DMARC y el validador de sintaxis?
R: El inspector DMARC consulta el DNS para verificar el registro publicado en su dominio. El validador de sintaxis analiza un registro que usted pega antes de publicarlo. Flujo recomendado: validador → publicación → inspector.
P: ¿Qué significa "registro DMARC no encontrado"?
R: No existe ningún registro TXT en _dmarc.sudominio.com. Cree un registro TXT con al menos:
v=DMARC1; p=none; rua=mailto:reports@sudominio.com
P: ¿Por qué el inspector detecta múltiples registros DMARC?
R: La especificación RFC 7489 requiere un solo registro DMARC por dominio. Múltiples registros crean un conflicto: los servidores destinatarios ignoran todos los registros. Elimine los duplicados inmediatamente.
P: ¿Qué política DMARC elegir?
R: Progresión recomendada:
- p=none → Observar sin impacto (2-4 semanas mínimo)
- p=quarantine → Marcar como spam (aumentar pct progresivamente)
- p=reject → Rechazar emails no autenticados
Nunca pase directamente a p=reject sin análisis de reportes.
P: ¿Cuánto tiempo para ver los cambios DMARC?
R: La propagación DNS depende del TTL (Time To Live) del registro:
- TTL 3600 (1h) → 1-4 horas
- TTL 86400 (24h) → 24-48 horas
Reduzca el TTL antes de modificar para acelerar las futuras propagaciones.
P: ¿El inspector también verifica SPF y DKIM?
R: No, el inspector DMARC se enfoca en el registro _dmarc. Para una verificación completa de autenticación de email:
- Inspector SPF → Registro SPF
- Inspector DKIM → Clave pública DKIM
- Probador de email → Prueba completa en condiciones reales
Herramientas complementarias
| Herramienta | Utilidad |
|---|---|
| Validador sintaxis DMARC | Validar sintaxis ANTES de publicación DNS |
| Generador DMARC | Crear un registro DMARC conforme a las especificaciones |
| Inspector SPF | Verificar el registro SPF del dominio |
| Inspector DKIM | Verificar la clave pública DKIM |
| Probador de email | Probar autenticación completa con un email real |
| Propagación DNS | Verificar propagación mundial del registro |
Recursos útiles
- RFC 7489 - Domain-based Message Authentication, Reporting and Conformance (DMARC) (especificación oficial)
- Google - Configurar DMARC (guía Gmail/Workspace)
- Microsoft - DMARC en Microsoft 365 (guía Outlook/M365)
- dmarc.org - Overview (documentación del consorcio DMARC)