Lector de informes DMARC

Un recuento diario de cada proveedor de correo

Un registro DMARC es una línea en el DNS de tu dominio. Una de sus etiquetas, rua=mailto:reports@yourdomain.com, pide a todo proveedor que reciba correo que dice venir de tu dominio que envíe un resumen a esa dirección. Google, Microsoft, Yahoo y muchos otros lo hacen, normalmente una vez cada 24 horas.

Estos informes “agregados” no contienen el texto de los mensajes ni los nombres de los destinatarios, solo recuentos. Cada fila dice que una dirección IP envió cierta cantidad de mensajes con tu dominio en la línea From, y qué puntuación obtuvieron esos mensajes:

<record>
  <row>
    <source_ip>198.51.100.24</source_ip>
    <count>312</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers><header_from>yourdomain.com</header_from></identifiers>
  <auth_results>…</auth_results>
</record>

Un solo dominio con unos pocos servicios de envío recibe fácilmente varios archivos al día, cada uno con decenas de filas. El lector los suma para que no tengas que hacerlo tú.

Por qué un pass puede fallar igualmente: la alineación

DMARC se apoya en dos comprobaciones más antiguas. SPF pregunta si el servidor que envía tiene permiso para enviar en nombre del dominio de la dirección de retorno oculta. DKIM pregunta si el mensaje lleva una firma válida de algún dominio. Ninguna de las dos mira la línea From que lee una persona.

DMARC establece esa conexión. Un mensaje pasa DMARC cuando SPF o DKIM pasa para un dominio que coincide con la línea From. Esa coincidencia se llama alineación. Un servicio de boletines puede pasar SPF para su propio dominio y firmar cada mensaje con su propia clave DKIM, y aun así fallar DMARC en tu caso, porque ninguno de los dos resultados menciona tu dominio.

En un informe, policy_evaluated contiene los resultados alineados y auth_results los resultados en bruto con los dominios implicados. El lector usa el primero para sus etiquetas “Alineado” e imprime el segundo como pequeñas notas debajo, para que veas qué dominio pasó.

Cómo clasifica el lector a los remitentes

Las filas se fusionan por dirección IP entre todos los archivos que sueltas y luego se agrupan por servicio. Si la opción de nombres está activada, nuestro servidor consulta el nombre DNS inverso y el propietario de la red de cada dirección. Por esos nombres se reconocen unos treinta servicios comunes, desde Google y Microsoft 365 hasta SendGrid, Mailchimp y Amazon SES. Cada dirección recibe una de cinco etiquetas:

El resumen de arriba da el volumen total, la proporción conforme (verde desde el 98 %, naranja desde el 75 %), el número de mensajes de remitentes desconocidos y la política que los informes dicen que publicas.

De la tabla a una política aplicada

1. Arregla cada grupo “por arreglar”. En los ajustes del servicio, busca “autenticación de dominio”, “dominio de envío” o “DKIM”. Te dará dos o tres registros DNS para publicar, normalmente CNAME. Cuando estén activos, el servicio firma con tu dominio y las filas se ponen en verde en los siguientes informes.
2. Deja el reenvío en paz. No puedes reparar lo que retransmite un tercero. Estas filas se mantienen pequeñas.
3. Endurece la política. Cuando tus propios remitentes lleven de dos a cuatro semanas siendo conformes, cambia p=none por p=quarantine y más adelante por p=reject. Una etiqueta pct inferior a 100 aplica la política solo a esa proporción del correo que falla. Quítala al final.

Para revisar el registro en sí, tienes la revisión de SPF, DKIM y DMARC. Para escribir uno nuevo, usa el generador de registros.

El formato tiene sus límites. Un informe cubre solo a los proveedores que envían informes y solo el período de su rango de fechas, y nunca te dice a qué persona o campaña pertenecía un mensaje. El lector acepta hasta 200 archivos a la vez, de 50 MB cada uno, e ignora los duplicados.