23 Sep 20264 minutes read
Waseem OsmanEspecialista en DMARCTemperror vs. Permerror: qué significa realmente cada uno
Resumen sobre temperror:
- Temperror significa un problema de DNS transitorio, no un registro roto.
- Permerror significa que el registro no es válido y no se resolverá con un reintento.
- El encabezado Authentication-Results confirma con cuál de los dos está lidiando.
- Un cambio a permerror, o su recurrencia en muchos mensajes, significa que debe escalar.
- Un temperror genuino generalmente se remonta al DNS: tiempos de espera, respuestas SERVFAIL, fallos transitorios.
Un temperror no significa que su registro SPF o DKIM esté roto. Un temperror significa que el verificador encontró un problema transitorio, generalmente relacionado con el DNS, mientras ejecutaba la verificación, no que el registro publicado esté mal configurado. Un reintento posterior puede tener éxito sin ningún cambio en su DNS.
Tratar un temperror como una mala configuración desperdicia tiempo en un problema que no existe.
Los equipos empresariales que gestionan decenas de dominios se encuentran con esto constantemente: se dispara una alerta, el correo se pospone, y alguien debe decidir en el momento si esperar o empezar a revisar los registros DNS. Tomar la decisión equivocada le cuesta a su equipo de seguridad un tiempo que no puede permitirse perder.
Esta es una guía operativa para CIOs, CISOs y administradores de correo electrónico que necesitan una forma confiable de distinguir un temperror genuino de un fallo de autenticación.
Antes de investigar un evento específico, confirme su punto de partida. El verificador de dominios gratuito de Sendmarc valida sus registros publicados en segundos.
Si corre el riesgo de sufrir una suplantación de identidad, uno de nuestros expertos se pondrá en contacto para ayudarle.
Qué significa realmente un temperror
Temperror es un resultado formalmente definido, no una etiqueta general para cualquier correo que no se entregó. El RFC 7208, sección 2.6.6, lo define para SPF: el verificador encontró un error transitorio, generalmente de DNS durante la verificación, y un reintento posterior puede tener éxito sin más acción del operador de DNS.
El RFC 6376, sección 3.9, define el resultado equivalente para el proceso de verificación propio de DKIM: la evaluación de DKIM termina en uno de tres estados, y TEMPFAIL es “un error temporal y recuperable, como un tiempo de espera agotado en una consulta DNS”.
En ambos casos, la verificación de autenticación en sí no logró completarse. El verificador no llegó a un resultado de aprobado, fallido ni ningún otro resultado definitivo. No pudo completar la consulta DNS, por lo que reportó un temperror y dejó abierta la puerta a un reintento.
Temperror vs. Permerror: la distinción que importa
El RFC 7208, sección 2.6.7, define el permerror por separado: los registros publicados del dominio no pudieron evaluarse, una condición de error que requiere intervención para resolverse.
Este es el caso de mala configuración. Un registro SPF con errores de sintaxis, un registro que supera el límite de 10 consultas DNS o un registro DKIM malformado producen permerror, no temperror. El permerror no se resuelve solo con un reintento. El registro debe corregirse.
El temperror y el permerror son fáciles de confundir. Ambos significan que la verificación de SPF o DKIM no salió limpia. Ambos ocurren mientras el verificador consulta un registro publicado en el DNS. Pero solo el permerror significa que el registro en sí es incorrecto.
La diferencia práctica está en lo que sucede después. El temperror generalmente se traduce en un mensaje diferido. El permerror es un resultado definitivo: el registro está roto y ningún reintento lo cambiará.
La pregunta de diagnóstico más útil que puede hacerse su equipo no es si la verificación de autenticación falló, sino si encontró algo incorrecto. El encabezado Authentication-Results del mensaje responde esa pregunta directamente: spf=temperror o dkim=temperror significa que la verificación no se completó. spf=permerror o dkim=permerror significa que encontró un registro roto.
Causas comunes de un temperror genuino
Un temperror generalmente se remonta a la capa de DNS, no al contenido del registro.
Las causas típicas incluyen:
- Un tiempo de espera de DNS agotado
- Una respuesta SERVFAIL
- Un fallo de resolución transitorio
Ninguna de estas implica que el registro esté mal, por lo que el servidor de envío ve un error SMTP 4xx en lugar de un rechazo definitivo.
Reglas de decisión para escalar
En los tres niveles, la señal a nivel SMTP suele verse igual: un error SMTP 4xx.
Escalamiento inmediato:
- El resultado cambia de temperror a permerror
- El temperror se repite en muchos mensajes del mismo dominio
Monitorización estándar:
- Un temperror aislado
- Sin cambios recientes en el DNS o la infraestructura
Registrar y cerrar:
- El resultado cambia a aprobado en el reintento
- Sin recurrencia en otros dominios
Cómo puede ayudar Sendmarc
Sendmarc brinda a los administradores de correo electrónico y a los equipos de seguridad visibilidad centralizada sobre los resultados de evaluación de SPF y DKIM en cada dominio gestionado, para que la distinción entre un temperror genuino y un permerror no dependa de analizar manualmente los reportes agregados de DMARC dominio por dominio.
Cuando un resultado de autenticación regresa como temperror junto con un error SMTP 4xx, su equipo necesita saber si se trata de un problema de DNS aislado y autorresoluble, o si una verificación posterior en el mismo dominio muestra permerror, lo que significa que el registro necesita corregirse. Sendmarc identifica ese patrón en todos sus dominios sin requerir verificaciones manuales de DNS por dominio ni comparaciones reporte por reporte, reduciendo la carga de investigación de los equipos de seguridad y TI ya sobrecargados.
Para los equipos de seguridad y cumplimiento, el rastro de auditoría integrado en la Plataforma de Gestión DMARC de Sendmarc respalda los requisitos de documentación que necesitan producir las investigaciones de autenticación.
Vea cómo la visibilidad centralizada de autenticación se integra en su flujo de trabajo actual de monitorización de SPF y DKIM. Explore nuestra Plataforma de Gestión DMARC para revisar cómo funcionan juntos los resultados de autenticación a nivel de dominio, los rastros de auditoría y la visibilidad multidominio en todo su entorno.
