DMARC Validator

¿Por qué validar la sintaxis DMARC antes de publicar?

Un registro DMARC mal formateado es ignorado silenciosamente por todos los servidores destinatarios. Gmail, Outlook, Yahoo: ninguno te alertará. Tus emails quedan sin protección contra el spoofing y phishing.

El validador de sintaxis DMARC analiza tu registro antes de la publicación DNS. Detectas los errores inmediatamente, sin esperar 24-48h de propagación para descubrir un problema.

Errores comunes detectados:

• Etiqueta v= faltante → El registro no se reconoce como DMARC
• Política p= ausente → Sin instrucciones de tratamiento para los servidores
• URI rua/ruf inválido → Los reportes nunca se reciben
• Etiquetas duplicadas → Comportamiento impredecible, frecuentemente ignorado

Cómo validar tu registro DMARC en 3 pasos

Paso 1: Copiar el registro DMARC

Prepara tu registro DMARC completo. Ejemplo típico:

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@captaindns.com; adkim=r; aspf=r; pct=100

Si modificas un registro existente, recupera el valor actual desde tu DNS:

dig TXT _dmarc.captaindns.com +short

Paso 2: Pegar y validar

Pega el registro en el campo de arriba. La herramienta analiza:

• La presencia de etiquetas obligatorias (v, p)
• La validez de cada etiqueta y valor
• El formato de los URIs de reporte (rua, ruf)
• El cumplimiento de las especificaciones RFC 7489

Paso 3: Corregir y publicar

El diagnóstico lista cada etiqueta con su estado:

• ✅ Válido → Etiqueta correcta, lista para publicación
• ❌ Error → Corrección requerida antes de publicar
• ⚠️ Advertencia → Funcional pero mejora recomendada

Corrige los errores, valida nuevamente y luego publica en tu DNS.

¿Qué es un registro DMARC?

DMARC (Domain-based Message Authentication, Reporting and Conformance) es un registro TXT DNS publicado en _dmarc.tudominio.com. Indica a los servidores destinatarios:

1. Qué política aplicar a los emails que fallan SPF y DKIM
2. Dónde enviar los reportes de autenticación
3. Cómo alinear los dominios SPF/DKIM con la dirección From

Estructura de un registro DMARC:

v=DMARC1; p=reject; rua=mailto:reports@captaindns.com; ruf=mailto:forensics@captaindns.com; adkim=s; aspf=s; pct=100

Detalle de las etiquetas DMARC validadas

Etiquetas obligatorias

Etiquetas opcionales

Errores de sintaxis frecuentes

Error 1: Registro sin v=DMARC1

Síntoma: El validador muestra "not_dmarc_record"

Causa: El registro no comienza con v=DMARC1

Corrección:

- p=reject; rua=mailto:reports@captaindns.com
+ v=DMARC1; p=reject; rua=mailto:reports@captaindns.com

Error 2: Política p= faltante

Síntoma: "missing_policy" o "empty_policy"

Causa: La etiqueta p= está ausente o vacía

Corrección:

- v=DMARC1; rua=mailto:reports@captaindns.com
+ v=DMARC1; p=none; rua=mailto:reports@captaindns.com

Error 3: URI rua/ruf inválido

Síntoma: "invalid_rua_uri" o "invalid_ruf_uri"

Causa: El URI no respeta el formato mailto: o https:

Ejemplos de corrección:

- rua=reports@captaindns.com          # Falta mailto:
+ rua=mailto:reports@captaindns.com

- ruf="mailto:forensics@captaindns.com"  # Comillas prohibidas
+ ruf=mailto:forensics@captaindns.com

- rua=mailto: reports@captaindns.com  # Espacio prohibido
+ rua=mailto:reports@captaindns.com

Error 4: Etiqueta duplicada

Síntoma: "duplicate_tag"

Causa: Una etiqueta aparece varias veces

Corrección:

- v=DMARC1; p=none; p=reject; rua=mailto:reports@captaindns.com
+ v=DMARC1; p=reject; rua=mailto:reports@captaindns.com

Error 5: pct fuera de rango

Síntoma: "invalid_pct_value"

Causa: El valor pct no está entre 1 y 100

Corrección:

- v=DMARC1; p=reject; pct=0      # 0 inválido
+ v=DMARC1; p=reject; pct=10     # Mínimo 1

- v=DMARC1; p=reject; pct=150    # >100 inválido
+ v=DMARC1; p=reject; pct=100

Buenas prácticas de implementación DMARC

1. Comenzar con p=none

No pases directamente a p=reject. Comienza observando:

v=DMARC1; p=none; rua=mailto:dmarc@captaindns.com

Esta política no bloquea nada pero genera reportes. Analízalos durante 2-4 semanas.

2. Configurar rua desde el inicio

Los reportes agregados son esenciales para:

• Identificar fuentes legítimas que fallan la autenticación
• Detectar intentos de spoofing
• Validar la progresión hacia p=quarantine y luego p=reject

3. Progresión hacia p=reject

Una vez que SPF y DKIM estén alineados en todas las fuentes legítimas:

1. p=none → Observar (2-4 semanas)
2. p=quarantine; pct=10 → Probar con el 10% del tráfico
3. p=quarantine; pct=50 → Aumentar progresivamente
4. p=quarantine; pct=100 → Cuarentena completa
5. p=reject → Protección máxima

4. Gestionar subdominios con sp=

Por defecto, los subdominios heredan la política p. Si envías emails desde subdominios (marketing.captaindns.com), recuerda:

• Configurar SPF/DKIM en cada subdominio
• Usar sp= si la política debe ser diferente

FAQ - Preguntas frecuentes

P: ¿Qué etiquetas DMARC son obligatorias?

R: Dos etiquetas son obligatorias: v=DMARC1 (versión) y p= (política). Sin estas etiquetas, el registro es inválido e ignorado por los servidores destinatarios. Todas las demás etiquetas son opcionales.

P: ¿Qué significa el error "política faltante"?

R: El registro no contiene la etiqueta p= que define la política. Agrega uno de los tres valores posibles:

• p=none → Sin acción, solo reportes
• p=quarantine → Marcar como spam
• p=reject → Rechazar el mensaje

P: ¿Cómo corrijo un error de URI rua/ruf?

R: Los URIs deben seguir el formato exacto mailto:direccion@dominio.com o https://endpoint. Errores comunes:

• Olvidar mailto: antes de la dirección
• Comillas alrededor del URI
• Espacios en la dirección
• Dirección de email inválida

P: ¿Cuál es la diferencia entre rua y ruf?

R:

• rua (reportes agregados): reportes diarios en formato XML, resumen estadístico
• ruf (reportes forenses): reporte por mensaje individual en fallo

Comienza solo con rua. Los reportes ruf generan mucho tráfico y pueden contener datos sensibles.

P: ¿Qué significa "pct fuera de rango"?

R: La etiqueta pct define el porcentaje de mensajes sujetos a la política p. Valores aceptados: 1 a 100. Si omites pct, la política se aplica al 100% de los mensajes (comportamiento por defecto).

P: ¿Por qué validar antes de publicar en DNS?

R: Un error de sintaxis hace que el registro sea inválido. Los servidores destinatarios lo ignoran silenciosamente: no recibes ninguna alerta, pero tus emails no tienen protección DMARC. Valida sistemáticamente antes de cada modificación DNS.

P: ¿El validador verifica la publicación DNS?

R: No, esta herramienta solo valida la sintaxis del registro. Para verificar que el registro esté correctamente publicado y propagado en el DNS, usa el Inspector DMARC después de la publicación.

Herramientas complementarias

Recursos útiles

• RFC 7489 - Domain-based Message Authentication, Reporting and Conformance (DMARC) (especificación oficial)
• Google - Configurar DMARC (guía Gmail/Workspace)
• Microsoft - DMARC en Microsoft 365 (guía Outlook/M365)
• dmarc.org - Overview (documentación del consorcio DMARC)