Herramienta gratuitaSin registro
Consulta DNS
Use la herramienta de consulta DNS de Sendmarc para analizar al instante los registros de un dominio, verificar su configuración y detectar problemas de DNS.
Artículo de blog
- 8 minutes read
Kiara SaloojeeEntusiasta de DMARCReportes Forenses DMARC: Qué Son y Cómo Utilizarlos
Los reportes forenses DMARC ofrecen a los equipos de seguridad visibilidad mensaje por mensaje de los correos electrónicos que no superan la autenticación DMARC. Mientras que los reportes agregados resumen los resultados de autenticación de todo el tráfico, los reportes forenses DMARC – también llamados reportes RUF – proporcionan detalles sobre cada uno de los mensajes que fallan.
Esta distinción es importante cuando necesitas investigar un intento concreto de suplantación de identidad, diagnosticar un remitente mal configurado o crear un registro de auditoría con fines de cumplimiento normativo.
Para recibir reportes forenses, añade la etiqueta ruf= a tu registro DMARC. Esta etiqueta especifica el buzón al que los servidores receptores deben enviar los reportes cuando un mensaje no supera DMARC.
Descubre cómo Sendmarc ofrece a tu equipo una visibilidad unificada de los fallos de autenticación DMARC.
Cómo Funcionan los Reportes Forenses DMARC
Cuando un servidor receptor detecta un fallo de DMARC, genera un informe por mensaje y lo envía a la dirección especificada en tu etiqueta ruf=. Los reportes forenses DMARC utilizan el Formato de Notificación de Abusos (ARF), un formato estándar del sector para notificar abusos de correo electrónico.
Cada informe puede incluir:
- Encabezados del mensaje
- La dirección de envío
- Resultados de autenticación (SPF y DKIM)
- Hora de recepción
- Firma DKIM
- Host de envío
- Línea de asunto
- ID del mensaje
La etiqueta fo= controla cuándo se generan los informes:
| Valor de la etiqueta | Cuándo se envía un informe |
|---|---|
fo=0 | Solo cuando fallan tanto SPF como DKIM |
fo=1 | Cuando falla SPF o DKIM |
fo=d | Solo en fallos de DKIM |
fo=s | Solo en fallos de SPF |
Una limitación importante: no todos los servidores receptores envían reportes forenses DMARC. La compatibilidad varía según el proveedor, y algunos de los principales – incluido Gmail – no envían reportes RUF. Esto significa que los datos de los reportes forenses nunca estarán completos. Utilízalos junto con los datos de los reportes agregados, no como sustituto de estos.
Reportes Forenses DMARC frente a Reportes Agregados
Saber cuándo utilizar cada tipo de informe ayuda a los equipos de seguridad a sacar el máximo partido a su configuración DMARC.
| Tipo de informe | Disparador | Ámbito | Contenido | Ideal para |
|---|---|---|---|---|
| Reportes agregados | Basado en tiempo (normalmente cada 24 horas) | Todo el tráfico de correo electrónico | Volumen, tasas de aprobación/fallo, fuentes de envío | Supervisión continua y aplicación de políticas |
| Informes forenses | Fallo por mensaje | Mensajes individuales con fallos | Encabezados, resultados de autenticación, detalles del mensaje | Investigación de fallos específicos e intentos de suplantación de identidad |
Los reportes agregados son la herramienta principal para la visibilidad diaria y la aplicación de políticas. Los reportes forenses resultan más útiles cuando los datos agregados revelan un problema, pero no lo explican.
Puede configurar ambos en un único registro DMARC:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=reject; rua=mailto:[email protected]; f ruf=mailto:[email protected]; fo=1; |
Consideraciones sobre Privacidad para los Reportes Forenses DMARC
Los reportes forenses pueden contener contenido confidencial de los mensajes, incluidos encabezados, líneas de asunto y, en algunos casos, el cuerpo de los correos electrónicos que no superaron DMARC. Esto genera obligaciones de tratamiento de datos que varían según la región y el sector.
Las organizaciones sujetas al RGPD o a normativasde privacidad similares deben evaluar si es adecuado habilitar ruf= antes de hacerlo. Si los informes forenses recogen datos personales de correos electrónicos de terceros, dichos datos deben tratarse conforme a la legislación aplicable.
Antes de habilitar los informes forenses:
- Confirma tu base jurídica para la recopilación y el tratamiento de los datos de los informes
- Asegúrate de que el buzón de informes tenga control de acceso y esté debidamente protegido
- Revisa tus obligaciones de conservación de datos para el contenido de los informes
Ten en cuenta que algunos servidores receptores ocultan campos confidenciales – como el contenido del cuerpo del mensaje–, lo que puede reducir el riesgo para la privacidad, pero también limita el nivel de detalle disponible para la investigación.
Cómo Actuar sobre los Datos de los Informes Forenses
Los reportes forenses DMARC resultan más útiles cuando se tratan como parte de una investigación. Te ayudan a:
- Investiga las direcciones IP de envío desconocidas. Si un informe forense incluye una IP de envío que no reconoces, comprueba si se trata de un remitente no autorizado o de un servicio legítimo que no está configurado correctamente. Los remitentes no autorizados deben eliminarse o bloquearse; los remitentes legítimos deben autorizarse en tus configuraciones de SPF y DKIM.
- Diagnostica el fallo de autenticación. Los resultados de autenticación de cada informe muestran si el fallo se debió a problemas de SPF, de DKIM o de ambos. Esto determina qué es necesario corregir.
- Crea registros de auditoría. Los datos de los informes forenses respaldan las investigaciones internas y proporcionan pruebas fiables a los comités de auditoría y riesgos.
Analizar y actuar sobre los datos de los informes forenses de forma manual no resulta práctico. Una plataforma de gestión DMARC analiza y muestra los datos de los informes forenses en todos tus dominios, para que tu equipo pueda investigar más rápido.
Visibilidad Unificada de los Reportes DMARC
Los reportes forenses DMARC revelan detalles que los datos agregados por sí solos no pueden ofrecer. Identifican fallos de autenticación específicos y proporcionan a los equipos de seguridad la visibilidad necesaria para investigar intentos de suplantación de identidad, eliminar remitentes no autorizados y respaldar los reportes de cumplimiento normativo.
Gestionar los datos de los reportes forenses en varios dominios requiere algo más que un buzón de reportes. La solución de gestión DMARC de Sendmarc ofrece a los equipos visibilidad unificada de los fallos de autenticación, las fuentes de envío y el cumplimiento de DMARC.
Sendmarc ofrece:
- Reportes agregados y forenses en un único panel
- Identificación de remitentes de correo electrónico no autorizados o desconocidos
- Supervisión continua sin aumentar la carga de trabajo interna
- Registros de auditoría para respaldar los requisitos de cumplimiento normativo y gobernanza
Descubre cómo Sendmarc ofrece a tu equipo una visibilidad unificada de los reportes DMARC.
Reportes Forenses DMARC: Cómo Interpretarlos y Actuar en Consecuencia
Recibe las últimas actualizaciones de seguridad de correo electrónico en tu bandeja de entrada cada mes
¿Tu dominio está protegido?
Obtén la puntuación de seguridad de tu dominio en segundos.
Consulta tus calificaciones de suplantación, privacidad y marca.
Si corres riesgo de suplantación de identidad, uno de nuestros expertos se pondrá en contacto para ayudarte.
