Reportes agregados DMARC: qué son y qué información proporcionan

Cómo interpretar los reportes agregados DMARC

Un informe agregado DMARC es un resumen diario que un servidor receptor envía de vuelta al propietario del dominio. En él se detalla cómo se comportaron, frente a las comprobaciones de autenticación SPF y DKIM, los correos que afirman proceder de su dominio.

Los reportes se entregan como archivos XML comprimidos a la dirección especificada en la etiqueta rua= de su registro DMARC. Ofrecen una visión general de alto nivel de todo el tráfico de correo que afirma proceder de su dominio durante un período de reporte determinado.

Los reportes agregados son distintos de los reportes forenses (RUF). Los reportes RUA no contienen el contenido de los mensajes ni las cabeceras – son únicamente resúmenes de los resultados de autenticación. Ambos tipos de informe cumplen propósitos distintos y cuentan con distintos niveles de compatibilidad entre los proveedores receptores.

Una salvedad importante: no todos los proveedores receptores envían reportes agregados. La cobertura es amplia – participan los principales proveedores, incluidos Google, Microsoft y Yahoo – pero no es universal.

Qué contiene un informe agregado

Un informe RUA estándar incluye los siguientes campos de datos:

1. Organización que informa – El proveedor receptor que generó el informe
2. Intervalo de fechas – El período que cubre el informe
3. Dominio – El dominio al que se aplica el informe
4. Política aplicada – La política DMARC vigente durante el período del informe (p=none, p=quarantine o p=reject)
5. IP de origen – La dirección IP desde la que se enviaron los mensajes
6. Resultado SPF – Si la comprobación SPF se superó o no
7. Resultado DKIM – Si la comprobación DKIM se superó o no
8. Disposición – La medida adoptada por el proveedor receptor (ninguna, cuarentena o rechazo)

Cómo se envían los reportes agregados

Los reportes llegan a la dirección rua= en forma de archivos adjuntos XML, normalmente comprimidos en formato .gz o .zip. El XML sin procesar es técnicamente legible, pero no resulta práctico a gran escala.

Las empresas que dirigen los informes directamente a un buzón de correo recibirán archivos XML individuales de cada proveedor participante. Un solo dominio puede generar docenas de informes al día procedentes de diferentes receptores. Si se tienen en cuenta varios dominios, ese volumen aumenta rápidamente – algunos entornos reciben cientos o miles de informes al día.

La mayoría de las empresas utiliza un servicio o una plataforma de generación de informes para analizar, agregar y visualizar los datos. Sin esto, el volumen y el formato de los informes dificultan un análisis coherente para cualquier equipo, sin importar su capacidad técnica.

Lo que revelan los reportes agregados en la práctica

Los datos de los reportes agregados responden a preguntas que influyen directamente en las decisiones de aplicación de la política y en el nivel de seguridad.

Fuentes de envío

El campo «IP de origen» identifica qué direcciones IP envían mensajes que afirman proceder de su dominio. Las IP desconocidas indican remitentes no autorizados, sistemas mal configurados o posibles actividades de suplantación de identidad. Obtener una visibilidad unificada de todas las herramientas de envío de correo – incluidas las plataformas de terceros – empieza aquí.

Lagunas en la autenticación

Los campos de resultado SPF y DKIM muestran qué fuentes no superan las comprobaciones de autenticación y cuáles sí las superan. Estas deficiencias deben resolverse antes de aplicar la política. Pasar a p=quarantine o p=reject mientras remitentes legítimos sigan fallando la autenticación filtrará o bloqueará correos electrónicos válidos.

Resultados de la aplicación de las políticas

En p=quarantine o p=reject, el campo «disposición» confirma si los proveedores receptores están cumpliendo la política. Este es el ciclo de retroalimentación que te indica si la aplicación de la política está funcionando.

Anomalías de volumen

Los picos repentinos en el volumen de mensajes procedentes de una dirección IP pueden indicar suplantación de identidad o uso indebido. Supervisar los datos de los reportes agregados a lo largo del tiempo permite detectar estas anomalías.

Por qué son importantes los reportes agregados

Las organizaciones no deberían pasar a p=quarantine ni a p=reject sin antes revisar los datos de los reportes agregados. Aplicar la política antes de que todos los remitentes legítimos estén autenticados interrumpirá los flujos de correo válidos – incluidas las notificaciones de facturación, los mensajes transaccionales y las comunicaciones de marketing.

La fase de monitoreo (p=none con rua= configurado) existe para recopilar estos datos. Solo resulta útil si los reportes se leen y se actúa en consecuencia. Permanecer en p=none de forma indefinida te permite recopilar datos, pero no ofrece ninguna protección contra la suplantación o la usurpación de identidad.

Los reportes agregados son la señal que indica a los equipos cuándo es seguro aplicar la política. El tiempo necesario en la fase de monitoreo varía según la empresa – depende de la complejidad del entorno de envío. Los entornos grandes o distribuidos, con múltiples unidades de negocio, regiones y herramientas SaaS, suelen requerir más tiempo para identificar y autenticar a todos los remitentes legítimos.

Cómo leer los reportes agregados a gran escala

Leer manualmente los reportes agregados – que abarcan docenas de dominios y cientos de IP – no es escalable. La brecha entre implementar DMARC y aplicarlo es un problema de datos.

Sendmarc procesa los reportes RUA de toda tu cartera de dominios y destaca lo que realmente importa – para que tu equipo dedique su tiempo a tomar decisiones, no a archivos XML.

Con la Plataforma de gestión DMARC de Sendmarc, los equipos pueden:

• Detectar remitentes no autenticados antes de que afecten a la capacidad de entrega o al cumplimiento normativo
• Hacer un seguimiento de los resultados de la aplicación de las políticas entre los proveedores receptores
• Centralizar la visibilidad en todos los departamentos, regiones y remitentes externos
• Facilitar la elaboración de informes de cumplimiento sin aumentar la carga de trabajo del equipo

Comprueba quién envía mensajes desde tus dominios – y qué no se está autenticando.