Implementación empresarial de DMARC: una guía para la aplicación en múltiples dominios

Por qué la implementación de DMARC fracasa a gran escala

Una empresa con un solo dominio puede permitirse pasar de p=none a p=reject en cuestión de semanas. Una empresa con 10, 30 o 50 dominios no puede. Cada dominio tiene su propio historial de envío, su propia combinación de remitentes autorizados y no autorizados, y su propio conjunto de partes interesadas que notarán cuando el correo deje de llegar.

La aplicación afecta a todos los equipos que envían correos electrónicos. Finanzas utiliza un sistema de facturación de terceros. RR. HH. envía correos desde una herramienta SaaS de contratación. Marketing envía campañas desde una plataforma independiente. Ninguno de estos remitentes aparece en tu inventario inicial hasta que la aplicación los revela.

El costo de descubrir esto bajo p=reject son correos electrónicos descartados, notificaciones perdidas y una escalada de las partes interesadas que socava todo el programa. La alternativa es un modelo de secuenciación por fases en el que cada dominio llega a la aplicación mediante un proceso estructurado.

Modelo por fases: Piloto → Aplicación → Rechazo

Este modelo de tres fases se aplica a cada dominio de forma individual. No haces avanzar toda tu cartera de dominios por las fases a la vez; la secuenciación de dominios determina el orden en que los dominios avanzan por el proceso.

Fase 1: fase piloto (modo de supervisión)

Implementa p=none en tu primer grupo de dominios. La fase piloto de tu implementación de DMARC consiste en recopilar datos, no en proteger. Estás construyendo un inventario completo de remitentes a partir de los reportes agregados y forenses.

Un registro inicial mínimo se ve así:

Durante la fase piloto, confirma la alineación de cada remitente. Si un remitente aparece en los informes sin un resultado de alineación satisfactorio, resuélvelo primero.

Esta fase piloto suele durar de uno a cinco días por dominio, según el volumen de envío y la rapidez con la que las partes interesadas puedan autorizar o dar de baja remitentes desconocidos.

Fase 2: fase intermedia (modo de cuarentena)

Una vez confirmada la alineación, haga avanzar el dominio a p=quarantine, la segunda etapa de su implementación de DMARC. Esto indica a los servidores receptores que envíen los mensajes no autenticados a la carpeta de Correo no deseado o Spam en lugar de rechazarlos directamente.

Un registro típico de p=quarantine se ve así:

El modo de cuarentena es tu última red de seguridad antes de la aplicación. Trátalo como una ventana de observación de 30 a 60 días.

Fase 3: fase de aplicación total (modo de rechazo)

La aplicación total significa p=reject. Los mensajes no autenticados que afirman proceder de su dominio se rechazan. Aquí es donde realmente detienes los correos suplantados, y donde las lagunas en su inventario de remitentes se convierten en incidentes operativos.

Las empresas suelen estructurar sus configuraciones así:

Secuenciación de dominios: cómo priorizar en toda tu cartera

No todos los dominios conllevan el mismo riesgo o complejidad, por lo que la secuenciación de dominios los prioriza.

Usa esta lógica de secuenciación para priorizar:

1. Dominios principales de cara al cliente – Conllevan el mayor riesgo de suplantación, por lo que deben ser los primeros en la fila para la aplicación.
2. Dominios de comunicación interna – Menor exposición a la suplantación externa, pero siguen siendo relevantes para el phishing interno.
3. Dominios inactivos y aparcados – Sin flujo de correo legítimo. Lleva estos directamente a p=reject. Requieren una coordinación mínima, pero son importantes porque los atacantes suelen dirigirse específicamente a dominios no utilizados.

Lista de gobernanza: quién es responsable de qué

La gobernanza es la parte que la mayoría de los programas DMARC pasan por alto. Sin ella, las decisiones de avance de fase se vuelven informales, la autoridad para revertir cambios no está clara, y los incidentes de aplicación se convierten en disputas entre equipos sobre quién aprobó el cambio.

Define estas áreas de responsabilidad antes de que tu primer dominio entre en la fase piloto de la implementación de DMARC:

Propietario del dominio (por dominio)

• Responsable de la integridad del inventario de remitentes
• Aprueba las decisiones de avance de fase
• Recibe las escaladas cuando la aplicación interrumpe el flujo de correo

Habitualmente: el responsable de TI del dominio o un administrador de correo sénior

Responsable del programa DMARC

• Es responsable del calendario de secuenciación
• Mantiene el inventario maestro de remitentes
• Gestiona los informes al equipo de seguridad

Habitualmente: el responsable de seguridad de correo electrónico, el líder de infraestructura o un reporte directo del CISO

Equipo de seguridad y riesgos

• Establece el calendario de aplicación y aprueba excepciones
• Revisa los reportes agregados sobre el progreso de la alineación
• Escala la exposición al incumplimiento ante el consejo si los plazos de aplicación se retrasan

Habitualmente: el CISO o el CIO

Partes interesadas

• Identifica y autoriza remitentes de terceros dentro de su ámbito
• Señala los cambios de herramientas previstos antes de que se requieran actualizaciones de DNS
• Aprueba las bajas de remitentes

Un dominio avanza entre fases solo cuando cumple estas condiciones:

1. De la fase piloto a la cuarentena: alineación completa en todas las fuentes de envío, con el inventario de remitentes aprobado por el propietario del dominio
2. De la cuarentena a la aplicación: 100 % de alineación sin fallos de remitentes sin resolver en la ventana de informes de los últimos 14 días, aprobado por el propietario del dominio y el responsable del programa

Cómo puede ayudarte Sendmarc con tu implementación de DMARC

Realizar un seguimiento de docenas de dominios a través de tres fases de aplicación, revisar los reportes agregados diarios y mantener un inventario de remitentes para cada dominio de forma manual no es sostenible para un equipo de seguridad o TI ya sobrecargado.

La Plataforma Sendmarc respalda cada etapa de tu implementación de DMARC, reuniendo los datos de DMARC de cada dominio en una sola vista y convirtiendo los reportes agregados y forenses en datos que tu equipo puede usar de inmediato. Esto te proporciona visibilidad unificada de las configuraciones de SPF, DKIM y DMARC.

Sendmarc también respalda los informes de auditoría y cumplimiento que exigen los consejos y comités de riesgo, con el apoyo de asistencia práctica para la implementación y optimización continua.