netlupaComprobar el registro DMARC de un dominio
DMARC le dice al mundo qué hacer con los correos que suplantan tu dominio. Escríbelo para revisar su política y sus informes.
Cómo se lee un registro DMARC
DMARC es un registro TXT en _dmarc.tudominio.com que empieza por «v=DMARC1» y sigue con etiquetas separadas por punto y coma. Por ejemplo:
- v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=s
La etiqueta más importante es p, la política: none (solo observar), quarantine (mandar a spam) o reject (rechazar). Un correo supera DMARC si supera SPF o DKIM y, además, el dominio que validan está alineado con el del remitente que ve el usuario.
Con rua recibirás cada día informes XML de los grandes proveedores con todas las IP que han enviado correo en tu nombre: así descubres servicios legítimos que fallan y suplantaciones.
Cada registro, en detalle
Preguntas frecuentes
¿Puedo poner «p=reject» directamente?
Solo si estás seguro de que todos tus servicios de envío superan SPF o DKIM alineados. Si no, perderás correo legítimo. Lo seguro es empezar en «none», revisar los informes y subir poco a poco.
¿Los subdominios necesitan su propio DMARC?
No: heredan la política del dominio principal (o la de «sp», si la indicas). Solo hace falta un registro propio si quieres una política distinta para un subdominio.
¿Cuál es mi selector DKIM?
Abre un correo que hayas enviado, mira su código fuente o cabeceras originales y busca DKIM-Signature: el valor de «s=» es el selector y el de «d=» el dominio. Google Workspace suele usar «google» y Microsoft 365 «selector1» y «selector2».
¿Es mejor «~all» o «-all»?
Con DMARC en marcha, la diferencia práctica es pequeña, porque decide la política DMARC. «-all» es más estricto; «~all» es más tolerante con reenvíos y servicios olvidados. Si no tienes DMARC, «-all» protege más.
He cambiado el DNS y la herramienta no lo ve, ¿por qué?
Los registros DNS se guardan en caché el tiempo que indica su TTL (a menudo una hora). Espera ese tiempo y vuelve a comprobarlo. Comprueba también que el registro está en el dominio correcto (por ejemplo, _dmarc.tudominio.com para DMARC).
¿Necesito SPF y DMARC en un dominio que no envía correo?
Sí, y es muy recomendable: publica «v=spf1 -all» y «v=DMARC1; p=reject;» para que nadie pueda usar ese dominio para enviar correos falsos.
¿Guardáis los dominios que compruebo?
No. Consultamos el DNS público en el momento, con nuestro propio resolvedor, y no guardamos ni el dominio ni el resultado.