16 Jun 20268 minutes read
Kiara SaloojeeEntusiasta de DMARCFormato de registro DMARC: qué significa realmente cada configuración
Descripción general del formato de registro DMARC:
- Un registro DMARC técnicamente válido no es lo mismo que uno seguro.
- La etiqueta p= es la decisión más importante en cualquier registro DMARC.
- La aplicación es un proceso gradual: de p=none a p=quarantine y de ahí a p=reject.
- Los entornos de envío complejos requieren una estrategia de subdominios, no solo una política de dominio de nivel superior.
- Las etiquetas de informes son esenciales. Sin ellas, no hay visibilidad sobre los fallos de autenticación.
Un registro DMARC es un conjunto de decisiones de política expresadas en el DNS. Dos registros DMARC pueden ser técnicamente válidos y a la vez representar posturas de seguridad completamente distintas: uno bloquea activamente los mensajes no autorizados, mientras que el otro está totalmente expuesto a la suplantación de identidad.
Esta entrada es una referencia práctica sobre el formato de registro DMARC. En ella se explica qué controla cada etiqueta DMARC, cómo influye cada una en la aplicación de las políticas y qué indican las distintas configuraciones sobre la postura de seguridad. Comprender el formato de registro DMARC implica tratar cada etiqueta como una elección deliberada, no como un valor predeterminado que se deja sin modificar.
Compruebe qué indica el formato actual de su registro DMARC. Realice un análisis gratuito de su dominio.
Si corres riesgo de suplantación de identidad, uno de nuestros expertos se pondrá en contacto para ayudarte.
Lo básico: qué debe incluir todo registro DMARC
Solo dos etiquetas DMARC son obligatorias: todo lo demás es una incorporación deliberada.
v= (Versión)
v=DMARC1 identifica la versión del registro. Debe aparecer en primer lugar. No existen alternativas ni variaciones.
p= (Política)
La etiqueta DMARC p= es la decisión clave de aplicación. Tiene tres valores, cada uno de los cuales representa una postura diferente:
- p=none – Solo supervisión. Los correos electrónicos se entregan independientemente de los resultados de autenticación. No existe ninguna protección del dominio.
- p=quarantine – Los mensajes fallidos se envían a la carpeta de spam o correo no deseado. Protección parcial.
- p=reject – Los mensajes fallidos se bloquean directamente. Aplicación total.
El valor de la política es la decisión más importante en cualquier registro DMARC. Este ejemplo de registro DMARC muestra la configuración mínima válida:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=none; |
Este ejemplo de registro DMARC es técnicamente válido, pero no ofrece protección ni visibilidad de reportes. Solo es adecuado como punto de partida temporal.
Referencia de etiquetas DMARC
Utiliza esta tabla como referencia rápida al realizar una auditoría o crear un registro DMARC para tu entorno.
| Etiqueta | Valores | Por defecto | Repercusión en la aplicación |
|---|---|---|---|
rua= | mailto: URI | None | Destino de los reportes agregados |
v= | DMARC1 | None | Identificador de versión |
p= | none, quarantine, reject | None | Decisión política fundamental |
ruf= | mailto: URI | None | Destino de los informes forenses |
fo= | 0, 1, d, s | 0 | Alcance del informe forense |
adkim= | r, s | r (relaxed) | Rigor de la alineación DKIM |
aspf= | r, s | r (relaxed) | Rigor de la alineación SPF |
sp= | none, quarantine, reject | Hereda p= | Cobertura de subdominios |
Formato de registro DMARC: cuatro configuraciones reales
Configuración uno: nueva implementación
Situación: Un dominio que publica DMARC por primera vez. SPF y DKIM están configurados, pero las fuentes de envío aún no se han mapeado por completo. El objetivo es recopilar datos de reportes agregados antes de tomar cualquier decisión de aplicación. Este formato de registro DMARC es el punto de partida recomendado:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=none; rua=mailto:[email protected]; |
Desglose de etiquetas DMARC:
- p=none – No se toma ninguna medida ante los mensajes fallidos. Protege contra las interrupciones mientras se mapea la infraestructura.
- rua= – La etiqueta DMARC de generación de reportes que dirige los reportes agregados a un buzón supervisado o a un servicio de reportes. Sin ella, la fase de supervisión no genera datos utilizables.
Lo que indica este registro: El propietario del dominio está iniciando el proceso DMARC. No hay aplicación activa. El dominio sigue siendo vulnerable a la suplantación de identidad. Este formato de registro DMARC solo es adecuado como punto de partida. Permanecer en p=none indefinidamente no es una estrategia de seguridad.
Configuración dos: aplicación parcial
Situación: Los reportes agregados ya se han revisado. La mayoría de las fuentes de envío legítimas están autenticadas. El dominio avanza hacia la aplicación, pero el equipo quiere validar antes de comprometerse con el rechazo. Este formato de registro DMARC introduce la cuarentena y los reportes forenses. El siguiente ejemplo de registro DMARC es adecuado cuando la mayoría de los remitentes están autenticados, pero el equipo aún no está listo para pasar al rechazo:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1; |
Desglose de etiquetas DMARC:
- p=quarantine – Los mensajes fallidos se dirigen a la carpeta de spam o correo no deseado en lugar de ser rechazados. Esto permite al equipo detectar casos excepcionales antes de pasar a p=reject.
- ruf= – La etiqueta DMARC de reportes forenses. Permite generar reportes sobre mensajes individuales que no superan la validación. Ten en cuenta que la compatibilidad con los reportes RUF varía según el proveedor receptor y no está universalmente soportada.
- fo=1 – Genera un informe forense si falla SPF o DKIM (el valor predeterminado, fo=0, solo genera un informe cuando fallan ambos). Se recomienda para obtener una visión más amplia durante esta fase.
Lo que indica este registro: Aplicación activa en curso. El dominio está protegido frente a la mayoría de los intentos de suplantación de identidad, pero los mensajes fallidos se siguen entregando a la carpeta de correo no deseado en lugar de bloquearse.
Configuración tres: aplicación total
Situación: Todas las fuentes de envío legítimas están autenticadas y superan la validación. El dominio está listo para la aplicación total. Este formato de registro DMARC representa el estado de aplicación objetivo. El siguiente ejemplo de registro DMARC se aplica cuando todas las fuentes de envío están autenticadas y superan la validación:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=r; aspf=r; |
Desglose de etiquetas DMARC:
- p=reject – Los mensajes fallidos se bloquean. Este es el estado objetivo para cualquier dominio que se tome en serio la seguridad del correo electrónico.
- adkim=r y aspf=r – Relajada alineación (el valor predeterminado). Permite que el dominio raíz coincida incluso cuando los mensajes se envían desde un subdominio o un tercero. La alineación estricta (adkim=s, aspf=s) solo debe utilizarse cuando el entorno de envío esté estrictamente controlado y completamente mapeado.
Lo que indica este registro: Aplicación total. Se rechazan los mensajes no autorizados. Este formato de registro DMARC es adecuado para la mayoría de los entornos de envío.
Configuración cuatro: entorno de envío complejo
Situación: Un dominio envía mensajes a través de varios servicios de terceros: una plataforma de marketing, un CRM, un proveedor de correo transaccional y un sistema de RR. HH. Los subdominios son utilizados por distintas unidades de negocio con fuentes de envío diferentes. Este formato de registro DMARC combina la aplicación total en el dominio principal con flexibilidad para los subdominios. El siguiente ejemplo de registro DMARC es adecuado para empresas con múltiples servicios de envío y subdominios gestionados de forma independiente:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]; sp=quarantine; adkim=r; aspf=r; fo=1; |
Desglose de etiquetas DMARC:
- p=reject – Aplicación total en el dominio organizativo.
- sp=quarantine – Una política más prudente para los subdominios. Útil cuando las fuentes de envío de los subdominios aún se están mapeando, o cuando distintos equipos gestionan el envío de subdominios de forma independiente.
- adkim=r y aspf=r – Aquí es fundamental que la alineación sea relajada. Una alineación estricta provocaría fallos en los remitentes externos que utilizan sus propios subdominios.
- ruf= y fo=1 – Etiquetas DMARC de reportes forenses activadas con un alcance amplio. Fundamental para investigar fallos de autenticación en un entorno de envío distribuido.
Lo que indica este registro: Un formato de registro DMARC maduro que combina la aplicación total en el dominio principal con precaución en los subdominios. Adecuado para empresas con equipos distribuidos e infraestructuras de envío complejas.
Gestión del formato de registro DMARC a gran escala
Conseguir que el formato del registro DMARC sea correcto para un solo dominio ya es un reto. Mantenerlo preciso en una cartera cada vez mayor —y saber cuándo hay que cambiar una configuración— es donde empieza el verdadero trabajo. Los equipos de seguridad y de TI que lidian con remitentes no autenticados, etiquetas DMARC mal configuradas o entornos de envío distribuidos se enfrentan a los mismos problemas: investigación manual, falta de visibilidad y desviación de políticas entre departamentos y regiones. Auditar manualmente las etiquetas DMARC en decenas de dominios no es un proceso escalable. La Plataforma de gestión DMARC de Sendmarc ofrece a los equipos visibilidad continua sobre cada registro, cada fuente de envío y cada error de autenticación en todos los dominios. Sendmarc te ayuda a:
- Obtén visibilidad unificada de todas las configuraciones de SPF, DKIM y DMARC
- Identifica a los remitentes de correo electrónico no autorizados o desconocidos antes de que causen daños
- Reduce la investigación manual de errores de configuración en dominios y subdominios
- Estandariza las políticas de autenticación del correo electrónico en todos los departamentos, regiones y filiales
- Mantén mejoras continuas de seguridad sin aumentar la carga de trabajo interna
Descubre cómo es la visibilidad completa de DMARC.
