Tipos de Fallos de DMARC: Una Guía de Diagnóstico para Equipos Empresariales

Cuando surge un fallo de DMARC, el instinto suele ser relajar la política, bajar de p=reject a p=quarantine, o agregar un include amplio de SPF y seguir adelante. Ese instinto cambia seguridad por comodidad. Además, deja intacta la causa raíz. El fallo puede repetirse; los reportes seguirán ruidosos, y el problema subyacente sale a la luz solo cuando un auditor lo pregunta.

Esta guía adopta el enfoque contrario. Le da a los administradores de correo y a los CISO un marco estructurado de diagnóstico de fallos de DMARC organizado por tipo, de modo que cada investigación comienza identificando cuál de los tipos de fallos de DMARC aplica y el riesgo que conlleva.

Esta es una referencia para equipos que ya están solucionando un fallo específico. Para un proceso de auditoría paso a paso previo a este punto, comienza con la lista de verificación de solución de problemas de DMARC.

Antes de diagnosticar qué tipo de fallo aplica, ejecuta tu dominio en el verificador de registros DMARC de Sendmarc para ver tu configuración actual de SPF, DKIM y DMARC.

Verificaciones de causa raíz

Ejecuta tu dominio en el verificador de registros SPF de Sendmarc para ver el registro actual y confirmar si la IP de envío aparece en él, directamente o a través de un mecanismo include.

Revisa también tu conteo de consultas SPF. El RFC 7208 limita las consultas DNS a 10. Superar ese límite provoca un permerror, que la mayoría de los servidores receptores tratan como un fallo.

Solución

Agrega el rango de IP o el mecanismo include faltante a tu registro SPF. Si estás cerca del límite de 10 consultas, aplana los includes.

Ejemplo de un registro corregido:

Mantén -all aquí. Volver a ~all no soluciona el fallo; solo lo oculta.

Marco de riesgo

Un hard fail de SPF en una herramienta de envío legítima significa que el correo de cara al cliente, facturas, notificaciones, alertas, se bloquea o filtra hasta que se agrega el remitente al registro. Eso es exposición directa a los ingresos. Para industrias reguladas, también genera preguntas de auditoría sobre si la infraestructura de envío está inventariada y controlada.

Verifica la solución

Usa el verificador de registros SPF de Sendmarc para validar el registro actualizado. Luego monitorea los reportes agregados durante las siguientes 24-48 horas para confirmar si la IP de origen pasa de fallo a éxito.

2. Fallos de DKIM

Cómo se ve en los reportes y registros

Los reportes agregados muestran dkim=fail para mensajes de un remitente conocido.

El encabezado Authentication-Results puede mostrar:

O, de forma más sutil, dkim=neutral, lo que puede significar que el registro DKIM falta, hay una discrepancia en la firma, las claves están vencidas, o el contenido del correo se modificó después de la firma.

Verificaciones de causa raíz

Usa el verificador de registros DKIM de Sendmarc para confirmar si el selector está publicado en el DNS. Si el registro falta, la clave pública nunca se publicó o fue eliminada. Si existe, el problema puede ser la rotación de claves: la plataforma de envío rotó su clave privada sin actualizar el registro DNS.

Solución

Marco de riesgo

Un fallo de autenticación DKIM significa que los mensajes no pueden verificarse criptográficamente como originados desde tu dominio. Eso afecta la entrega: los receptores tienen menos garantía de que el mensaje es legítimo, por lo que es más probable que se filtre o rechace.

Verifica la solución

Envía un mensaje de prueba e inspecciona los encabezados completos. Confirma que dkim=pass aparece en Authentication-Results con el valor correcto de header.d=.

3. Fallos de Subdominio

Cómo se ve en los reportes y registros

Los mensajes enviados desde notifications.yourdomain.com o hr.yourdomain.com aparecen en los reportes agregados fallando DMARC, aunque el subdominio nunca haya publicado su propio registro. Los subdominios heredan la política p= del dominio organizacional de forma predeterminada, por lo que una política de p=reject se aplica a ellos.

Verificaciones de causa raíz

Confirma si el subdominio tiene su propio registro. Si no existe ninguno, el fallo suele deberse a la autenticación. El subdominio está enviando desde una herramienta que se configuró sin ninguna configuración de SPF o DKIM, por lo que falla la alineación y se rechaza bajo la política heredada.

Solución

Para cada subdominio de envío activo:

Para subdominios inactivos:

Bloquéalos por completo. Los subdominios sin monitorear son un vector de suplantación común.

Marco de riesgo

Los subdominios sin monitorear generan un fallo de protección de marca. Un atacante que identifica un subdominio desprotegido puede usarlo para enviar correos de phishing que parecen provenir de tu empresa.

Verifica la solución

Vuelve a verificar el registro SPF, DKIM y DMARC de cada subdominio usando las herramientas gratuitas de Sendmarc.

4. Fallos de Reenvío

Cómo se ve en los reportes y registros

Has pasado a p=reject, pero se está bloqueando correo legítimo. Los reportes agregados muestran fallos de fuentes que creías bien configuradas.

Verificaciones de causa raíz

Esto suele ser un problema de reenvío. Cuando un destinatario reenvía un correo, la IP de origen cambia. SPF falla porque la nueva IP no está en tu registro. Si DKIM está intacto, DMARC aún puede pasar mediante la alineación DKIM, pero si el reenviador modifica el cuerpo del mensaje, DKIM también se rompe.

Solución

La Cadena de Recepción Autenticada (ARC) soluciona el problema de fondo: captura los resultados originales de SPF, DKIM y DMARC, y los preserva en cada salto, de modo que un servidor receptor pueda validar los resultados de autenticación originales.

Marco de riesgo

Los fallos de reenvío son a menudo donde ocurren las reversiones prematuras de p=reject. Los administradores ven que el correo legítimo falla y responden debilitando la política en lugar de diagnosticar la causa específica. El resultado es un dominio que nunca alcanza la aplicación completa.

Verifica la solución

Activa temporalmente el reporte forense para capturar los mensajes con fallos con detalle de encabezado. Confirma que DMARC pasa después de las actualizaciones de ARC. Monitorea los reportes agregados para confirmar que el correo reenviado previamente bloqueado ahora pasa.

Cómo Ayuda Sendmarc

El diagnóstico empresarial de fallos de DMARC es manejable cuando cada fuente de envío, dominio y reporte vive en un solo lugar. Con Sendmarc, los administradores obtienen visibilidad directa de qué fuentes están fallando y por qué. Eso reduce la carga de investigación manual sobre equipos de seguridad y TI ya sobrecargados.

Cuando aparecen nuevos remitentes, por fusiones y adquisiciones, nuevas herramientas o iniciativas de unidades de negocio, Sendmarc los marca de inmediato en lugar de esperar al siguiente ciclo de reportes. Sendmarc también le da a los equipos visibilidad unificada de las configuraciones de SPF, DKIM y DMARC en cada dominio y subdominio. Los cambios de política se gestionan de forma centralizada, con salvaguardas que reducen el riesgo de pasar a p=reject antes de que todos los remitentes estén cubiertos.

Si tu equipo está resolviendo un fallo de DMARC en este momento, ejecuta tu dominio en el verificador de registros DMARC de Sendmarc para validar tu configuración actual, y luego usa esta guía para trabajar sistemáticamente los tipos de fallos de DMARC.

Para equipos listos para pasar de la solución de problemas puntual a un diagnóstico centralizado de fallos de DMARC en todos los dominios y subdominios, solicita una demo con Sendmarc.