DMARC: seguridad para tu co­mu­ni­ca­ción por correo ele­c­tró­ni­co

El mecanismo de ve­ri­fi­ca­ción DMARC (Domain-based Message Au­the­n­ti­ca­tion Reporting and Co­n­fo­r­ma­n­ce) se creó para di­fe­re­n­ciar los correos ele­c­tró­ni­cos legítimos de los frau­du­le­n­tos. Este sistema resulta es­pe­cia­l­me­n­te útil para los pro­pie­ta­rios de dominios, ya que ayuda a evitar que su dominio sea utilizado para enviar mensajes fa­l­si­fi­ca­dos, que termine en listas negras o que sus correos legítimos sean re­cha­za­dos o marcados como correo no deseado.

¿Qué es DMARC?

DMARC significa “Domain-based Message Au­the­n­ti­ca­tion, Reporting and Co­n­fo­r­ma­n­ce” (Au­te­n­ti­ca­ción, Informes y Co­n­fo­r­mi­dad de Mensajes basados en Dominio). Este mecanismo amplía los métodos de au­te­n­ti­ca­ción exi­s­te­n­tes, como SPF y DKIM, y ofrece a los se­r­vi­do­res de correo in­s­tru­c­cio­nes claras sobre qué hacer con los mensajes que no superan estas co­m­pro­ba­cio­nes.

¿Cómo funciona DMARC?

• El pro­pie­ta­rio del dominio publica en la zona DNS un registro TXT con la co­n­fi­gu­ra­ción DMARC.
• Los se­r­vi­do­res que reciben correos verifican los mensajes entrantes mediante SPF y/o DKIM.
• Si la ve­ri­fi­ca­ción falla, aplican la política definida en el registro DMARC.
• Además, pueden enviarse informes al pro­pie­ta­rio del dominio para detectar intentos de abuso y reac­cio­nar a tiempo.

Resumen de las políticas de DMARC

DMARC: informes

Un elemento clave de DMARC es su sistema de re­tro­ali­me­n­ta­ción, que informa a los pro­pie­ta­rios del dominio sobre posibles intentos de abuso:

• Informes de resumen (rua): resúmenes diarios en formato XML, con in­fo­r­ma­ción sobre el volumen de correos, el origen y los re­su­l­ta­dos de las ve­ri­fi­ca­cio­nes.
• Informes forenses (ruf): informes in­di­vi­dua­les sobre fallos concretos en la au­te­n­ti­ca­ción, que pueden incluir partes del en­ca­be­za­do o contenido del mensaje so­s­pe­cho­so.

Dado que estos informes pueden contener datos sensibles (como di­re­c­cio­nes de correo, in­fo­r­ma­ción del remitente o detalles técnicos), es im­po­r­ta­n­te tener en cuenta las no­r­ma­ti­vas de pro­te­c­ción de datos al co­n­fi­gu­rar­los.

El contenido de la entrada DMARC

Un registro DMARC se publica como un registro TXT dentro del DNS del dominio. Está formado por varios pa­rá­me­tros que, en conjunto, definen cómo deben tratarse los correos ele­c­tró­ni­cos entrantes.

Campos DMARC y su si­g­ni­fi­ca­do

Ejemplo de un registro DMARC

_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-forensic@example.com; pct=100; adkim=s; aspf=s"

Crear un registro DMARC

Antes de crear un registro DMARC, tu dominio debe contar con registros SPF y DKIM co­rre­c­ta­me­n­te co­n­fi­gu­ra­dos. Solo con esta base puesta en marcha, DMARC puede funcionar de forma efectiva.

Paso 1: generar un registro DMARC

Puedes utilizar una he­rra­mie­n­ta en línea como el generador de registros DMARC Record Generator de EasyDMARC. Solo tienes que in­tro­du­cir tu dominio y se­le­c­cio­nar las opciones que quieras aplicar (política, di­re­c­cio­nes para los informes, nivel de ali­nea­ción, etc.).

Close

Paso 2: crear un registro TXT en el DNS

Después, inicia sesión en tu proveedor de dominios y accede a la co­n­fi­gu­ra­ción DNS y crea un nuevo registro TXT con estos valores para añadir DMARC a tu dominio.

• Su­b­do­mi­nio: _dmarc.tudominio.es
• Tipo: TXT
• Valor: el registro DMARC que generaste en el paso anterior

Ejemplo:

_dmarc.tudominio.es. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@tudominio.es"

Paso 3: im­ple­me­n­tar la política gra­dua­l­me­n­te

1. Comienza con p=none

• Solo monitorea: los correos se entregan con no­r­ma­li­dad.
• Revisa los informes DMARC para comprobar si todos los se­r­vi­do­res legítimos pasan las ve­ri­fi­ca­cio­nes.

2. Cambia a p=quarantine

• Los correos so­s­pe­cho­sos se envían a spam o a la cua­re­n­te­na del servidor.
• Reduce no­ta­ble­me­n­te el riesgo de abuso del dominio.

3. Finaliza con p=reject

• Los correos no au­te­n­ti­ca­dos se bloquean y no se entregan.
• Es la etapa re­co­me­n­da­da cuando SPF y DKIM están co­rre­c­ta­me­n­te co­n­fi­gu­ra­dos.

Es aco­n­se­ja­ble mantener la política ennone durante un tiempo y analizar los informes antes de aumentar el nivel de pro­te­c­ción.

Paso 4: co­n­fi­gu­rar la dirección de reportes

Crea una dirección es­pe­cí­fi­ca, como dmarc-reports@tudominio.es, y utilízala úni­ca­me­n­te para recibir los informes DMARC, evitando saturar los buzones ha­bi­tua­les. También puedes crear una dirección aparte para informes forenses, por ejemplo dmarc-forensic@tudominio.es. Ten en cuenta lo siguiente:

• Separar los reportes: usa estas di­re­c­cio­nes solo para recibir informes DMARC, ya que suelen incluir archivos XML vo­lu­mi­no­sos.
• Au­to­ri­za­ción en el DNS: los se­r­vi­do­res externos solo envían informes si tu registro DMARC es­pe­ci­fi­ca di­re­c­cio­nes válidas en rua y ruf. Si no, los informes no llegarán.
• Pro­te­c­ción de datos: los informes pueden incluir in­fo­r­ma­ción sensible (di­re­c­cio­nes IP, correos, datos técnicos). Comprueba que su tra­ta­mie­n­to cumple con tus políticas internas de pri­va­ci­dad y, si procede, con el DSGVO.

Paso 5: su­pe­r­vi­sar los re­su­l­ta­dos

Utiliza he­rra­mie­n­tas es­pe­cia­li­za­das para analizar los informes DMARC y detectar posibles abusos a tiempo. Servicios como Google Po­s­t­ma­s­ter Tools o Microsoft SNDS (Smart Network Data Services) muestran si tu dominio está siendo utilizado de forma indebida y te ayudan a ajustar tu política DMARC según sea necesario.

Paso 6: verificar el registro DMARC

De­pe­n­die­n­do del proveedor de DNS, la pu­bli­ca­ción del registro DMARC puede tardar desde unos minutos hasta varias horas. Para comprobar que se ha co­n­fi­gu­ra­do co­rre­c­ta­me­n­te, puedes usar alguna de las muchas he­rra­mie­n­tas de co­m­pro­ba­ción de DMARC di­s­po­ni­bles en Internet, como la he­rra­mie­n­ta DMARC Record Lookup de EasyDMARC.

Close