¿Qué es DMARC?
DMARC es un registro DNS que indica a los servidores de correo receptores qué hacer con un mensaje que dice provenir de su dominio cuando no pasa la autenticación. También hace que esos servidores le envíen reportes sobre quién envía correo en su nombre.
Hable con un ingeniero Base de conocimiento
Qué es
DMARC significa Domain-based Message Authentication, Reporting and Conformance. Se apoya en SPF y DKIM y agrega lo que a ellos les falta: un vínculo con la dirección From que ve el lector.
Ese vínculo se llama alineación. Un mensaje pasa DMARC cuando SPF pasa para un dominio que coincide con el dominio de From, o cuando es válida una firma DKIM de un dominio que coincide. Basta con una verificación alineada.
El registro
DMARC es un registro TXT en _dmarc seguido de su dominio, publicado en el DNS. Un registro inicial se ve así: v=DMARC1; p=none; rua=mailto: seguido de la dirección que debe recibir los reportes. El valor p es la política:
- none: no tomar ninguna acción, solo reportar.
- quarantine: tratar el correo que falla como sospechoso, lo que normalmente significa la carpeta de spam.
- reject: rechazar el correo que falla.
Reportes agregados
La dirección rua recibe reportes agregados de los grandes proveedores de correo, normalmente una vez al día, como archivos XML. Cada uno enumera los servidores que enviaron correo como su dominio, cuántos mensajes y si SPF y DKIM pasaron y estaban alineados. Revelan servicios olvidados que envían en su nombre, y también a los falsificadores.
Una implementación sensata
- Comience en none. Publique el registro con una dirección de reportes y reúna unas semanas de reportes.
- Corrija a cada remitente legítimo. Dé a cada uno una clave DKIM y una entrada SPF hasta que los reportes muestren que pasa.
- Pase a quarantine. El correo que falla ahora va a spam.
- Pase a reject. Cuando nada legítimo falla, el correo falsificado se rechaza.
Por qué le importa a una empresa
Sin una política DMARC aplicada, cualquiera puede enviar correo que muestre exactamente su dominio en la línea From, y los receptores no tienen instrucciones para detenerlo. Google y Yahoo exigen desde 2024 que los remitentes masivos autentiquen su correo. Nuestra guía de autenticación de correo muestra cómo encajan los tres registros.
Cómo trabaja KawaConnect con DMARC
Como parte de la configuración y administración de Microsoft 365, publicamos DMARC para el dominio, comenzamos en none y endurecemos la política solo cuando los remitentes legítimos ya pasan. Más información en nuestra página de Microsoft 365, con contexto en la guía del correo empresarial.
Servicios relacionados
Microsoft 365
SPF, DKIM y DMARC configurados para Exchange Online.
TI administrada
Registros de correo al día cuando agrega un servicio nuevo.
Sitios web
DNS del sitio web y del dominio administrados en conjunto.
Más información
- DMARC en WikipediaUn panorama neutral de la alineación, las políticas y los reportes.
- Resumen de DMARC en dmarc.orgEl sitio del propio estándar, que explica cómo aplica un receptor una política DMARC.
- Directrices de Google para remitentes de correoLos requisitos de Google sobre SPF, DKIM y DMARC para el correo enviado a Gmail.
- Autenticación de correo en Microsoft 365La guía de Microsoft, con enlaces a sus pasos para configurar DMARC.
¿Su política DMARC sigue en none?
Envíenos su dominio. Le diremos qué dice el registro y qué lo separa de reject.
Iniciar una conversación
