Qué necesitas
Acceso a la configuración DNS de tu dominio (en tu registrador o proveedor de DNS), una dirección que pueda recibir informes DMARC y la lista de todo lo que envía correo con tu dominio.
Los tres registros de un vistazo
| Registro | Se publica en | Qué demuestra |
|---|---|---|
| SPF | TXT en el propio dominio | Que la IP del servidor emisor puede enviar para este dominio |
| DKIM | TXT en selector._domainkey.dominio |
Que el mensaje lleva una firma válida de una clave publicada por el dominio y no fue alterado |
| DMARC | TXT en _dmarc.dominio |
Qué deben hacer los receptores cuando ni SPF ni DKIM coinciden con la dirección From visible, y adónde enviar informes |
Una configuración terminada para un dominio de ejemplo se ve así:
example.com. TXT "v=spf1 include:_spf.mailhost.example ~all"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A..."
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Despliegue seguro de DMARC
| Etapa | Política | Efecto |
|---|---|---|
| Supervisión | p=none |
No se bloquea nada; los informes muestran todas las fuentes |
| Aplicación suave | p=quarantine |
El correo que falla va a spam |
| Aplicación total | p=reject |
El correo que falla se rechaza |
Permanece en cada etapa hasta que los informes no muestren ningún remitente legítimo fallando. Dedica más tiempo a la supervisión del que parezca necesario, porque los remitentes olvidados (un sistema de facturación, una herramienta de boletines antigua) suelen ser las víctimas.
Errores comunes
- Dos registros SPF. Un dominio debe tener exactamente un registro TXT de SPF. Fusiónalos en uno.
- Más de 10 consultas. Cada
include,a,mx,existsyredirectcuenta, y también todo lo que hacen a su vez los registros incluidos. Pasarse hace que SPF falle con un error permanente. - Usar
+all. Autoriza a todo internet. No lo publiques nunca. - Olvidar remitentes de terceros. Los servicios de boletines, tickets y facturación deben estar en SPF y firmar con tu dominio mediante DKIM.
- Ignorar la alineación. DMARC exige que el dominio que pasó SPF o DKIM coincida con el dominio From visible. Un servicio que firma solo con su propio dominio no mejora tu resultado DMARC.
- Buzón saturado de informes. Los informes agregados son archivos XML. Usa un buzón dedicado o un servicio que los procese.
Para profundizar
Cómo encajan los tres estándares se explica en Cómo funciona la autenticación de correo: SPF, DKIM y DMARC y la sintaxis exacta de las etiquetas está en Guía rápida de la sintaxis de SPF, DKIM y DMARC. Para analizar un mensaje recibido, sigue Cómo comprobar si un correo es suplantado.