Qué decide DMARC
SPF y DKIM demuestran aspectos distintos sobre un dominio, pero ninguno comprueba la dirección de la línea From, que es la que leen las personas. DMARC los vincula con ella. Un mensaje supera DMARC cuando SPF o DKIM se valida para un dominio que coincide con el dominio de From, y el registro indica a los receptores qué hacer con los mensajes que no lo superan.
El registro se publica en DNS como un registro TXT en _dmarc seguido de tu dominio. Si ese nombre no tiene ningún registro, los receptores consultan en su lugar el dominio organizativo, es decir, el dominio registrado, como example.com para news.example.com. Por eso un subdominio puede estar cubierto sin tener un registro propio.
Cómo interpretar la política
p=none pide a los receptores que no hagan nada y que solo envíen informes. Es el punto donde todo el mundo debería empezar y donde demasiados dominios permanecen durante años. Mientras esté configurado, cualquiera puede enviar correo con tu dominio en la línea From y se ha indicado al receptor que lo deje pasar.
p=quarantine envía a spam el correo que no supera la comprobación, mientras que p=reject lo rechaza antes de aceptarlo. Gmail y Yahoo exigen desde febrero de 2024 que los remitentes masivos publiquen un registro DMARC. Un registro con p=none cumple formalmente ese requisito, pero el comprobador sigue marcándolo como advertencia.
Informes que nunca llegan
Las direcciones rua reciben un informe agregado de cada receptor que ve tu correo, una vez al día de forma predeterminada. Si una dirección pertenece a un dominio distinto de aquel para el que se ha publicado el registro, RFC 7489 exige que ese otro dominio publique un registro de autorización que indique que acepta informes para el tuyo. El comprobador consulta ese registro para cada dirección externa. Sin él, los receptores descartan los informes.
Preguntas
¿Cómo añado un registro DMARC?
Publica un registro TXT en _dmarc seguido de tu dominio, con v=DMARC1 y una política, por ejemplo, v=DMARC1; p=none; rua=mailto:dmarc@example.com. Empieza con p=none, revisa los informes durante unas semanas y después cambia a quarantine y, más adelante, a reject. Comprueba aquí el registro cuando DNS ya lo haya propagado.
¿Es malo usar p=none?
Como primer paso, cumple su función: recopila informes sin afectar a la entrega, y así puedes identificar los servicios que envían en tu nombre y que aún no están autenticados. Se convierte en un problema si se mantiene, ya que el objetivo de los informes es avanzar hasta poner los mensajes en cuarentena y después rechazarlos.
¿Necesito un registro distinto para cada subdominio?
Un subdominio sin registro propio usa el registro del dominio organizativo, y la etiqueta sp de ese registro establece la política para los subdominios. Por tanto, un solo registro suele cubrirlos todos.
¿Alineación relajada o estricta?
Relajada, salvo que tengas un motivo para usar la estricta. Con la alineación relajada, una firma DKIM de mail.example.com cuenta para las direcciones From de example.com. La alineación estricta impide esto y también muchas configuraciones en las que un proveedor firma con un subdominio.
¿Qué significa «DMARC policy not enabled»?
Significa que el registro DMARC del dominio indica p=none o que el dominio no tiene ningún registro DMARC. Con p=none, los receptores entregan con normalidad los mensajes que no superan la comprobación y solo envían informes a la dirección rua, por lo que todavía nadie tiene impedido enviar mensajes usando tu dominio.
Guía completa: DMARC policy not enabled
¿Puede un dominio tener más de un registro DMARC?
No. Cuando _dmarc contiene dos registros TXT que empiezan por v=DMARC1, los receptores descartan ambos y consideran que el dominio no tiene ninguno. Conserva uno y añade en él las etiquetas que necesites del otro.
¿Cuarentena o rechazo?
Empieza por cuarentena. Los receptores tratan los mensajes que fallan como sospechosos y suelen enviarlos a spam, por lo que un servicio legítimo que se te haya pasado acaba en una carpeta en lugar de perderse. Pasa a reject cuando los informes lleven unas semanas sin mostrar fallos en ninguno de tus mensajes.