¿Qué es DMARC?

Definición

Domain-based Message Authentication, Reporting, and Conformance es la capa de políticas de la autenticación de correo. SPF y DKIM realizan cada uno una comprobación útil por su cuenta, pero ninguno, por sí solo, mira la dirección From que el destinatario ve realmente, y ninguno le indica a un servidor receptor qué hacer cuando una comprobación falla. DMARC cubre ambas lagunas. Indica a los receptores cómo tratar el correo no autenticado, y produce informes que dan a quien posee el dominio visibilidad sobre cómo se está usando el dominio.

El propio nombre describe los tres trabajos que hace. La parte de autenticación significa que DMARC se construye directamente sobre los resultados de SPF y DKIM. La parte de informes significa que los receptores envían a quien posee el dominio datos agregados sobre los mensajes que dicen venir del dominio, incluido cuántos pasaron y cuántos fallaron. La parte de conformidad significa que quien posee el dominio puede declarar una política a la que los receptores deberían ajustarse, que va desde no tomar ninguna acción, a entregar en spam, a rechazar de plano. En conjunto, estas convierten SPF y DKIM de comprobaciones aisladas en una defensa exigible y observable de la identidad del dominio.

Cómo funciona

Una política DMARC se publica como un único registro DNS TXT en el subdominio _dmarc.yourdomain.com. El registro empieza con v=DMARC1, declara la política solicitada en una etiqueta p= y normalmente incluye una etiqueta rua= que da una dirección a la que deberían enviarse los informes agregados. Cuando llega un mensaje, el servidor receptor ejecuta SPF y DKIM como de costumbre, y luego realiza la evaluación DMARC sobre esos resultados.

El núcleo de DMARC es la alineación. No basta con que SPF o DKIM simplemente pasen. El dominio que esas comprobaciones validaron también debe coincidir con el dominio que aparece en la cabecera From visible, porque proteger esa dirección From visible es justamente el propósito de DMARC. Existen dos modos de alineación. La alineación relajada, que es la predeterminada, acepta una coincidencia a nivel del dominio organizacional, de modo que un subdominio puede alinearse con su dominio principal. La alineación estricta exige una coincidencia exacta del dominio. DMARC pasa cuando al menos uno de los dos, SPF o DKIM, pasa y además se alinea con el dominio From. Por eso un mensaje puede pasar SPF o DKIM por su cuenta y aun así fallar en DMARC si el dominio validado no concuerda con la dirección From, una sorpresa habitual cuando los remitentes endurecen su política por primera vez.

Cuando un mensaje falla en DMARC, el receptor aplica la política publicada. Una política p=none pide al receptor que no tome ninguna medida especial y que simplemente incluya el mensaje en los informes; es el modo de monitoreo. Una política p=quarantine pide al receptor que trate el correo fallido con desconfianza, normalmente enviándolo a la carpeta de spam. Una política p=reject pide al receptor que bloquee por completo el correo fallido, de modo que nunca llegue ni a la bandeja de entrada ni a la carpeta de spam. La implementación recomendada es gradual: empieza en none, estudia los informes agregados para confirmar que todas las fuentes de envío legítimas se autentican y se alinean, y luego pasa a quarantine y finalmente a reject una vez que los datos demuestren que es seguro. Aplicar una política estricta antes de completar la configuración puede hacer que un dominio bloquee su propio correo legítimo.

Por qué importa para la entregabilidad del correo

DMARC importa por dos razones conectadas. La primera es la seguridad. Sin DMARC, un atacante puede enviar correo de phishing que muestre el dominio exacto de una empresa de confianza en la dirección From, porque SPF y DKIM por sí solos no vigilan ese campo visible. Una política DMARC de quarantine o reject permite al propietario real del dominio indicar a los proveedores de correo de todo el mundo que detengan ese correo falsificado antes de que llegue a nadie. La segunda razón es la entregabilidad. Un registro DMARC indica a los proveedores que un dominio se toma en serio la autenticación, lo que favorece la reputación del dominio y su llegada a la bandeja de entrada.

DMARC también se ha convertido en un requisito ineludible. Según los requisitos para remitentes de 2024 de Google y Yahoo, los remitentes masivos deben publicar un registro DMARC con una política de al menos p=none, y deben autenticarse con SPF y DKIM de forma que se alineen bajo DMARC. Un dominio sin registro DMARC puede ver su correo masivo limitado o rechazado. Al mismo tiempo, los informes que devuelve DMARC son valiosos por sí mismos, porque revelan todos los servicios que envían correo en nombre del dominio. Esa visibilidad ayuda a un remitente a confirmar que todas sus herramientas legítimas, desde plataformas de marketing hasta sistemas de soporte, se autentican correctamente antes de aplicar cualquier política más estricta.

Cómo lo gestiona VeriMails

DMARC y la verificación de correo defienden la entregabilidad desde extremos opuestos del mensaje. DMARC protege la identidad de tu dominio en el correo que envías, asegurando que los receptores puedan confiar en que un mensaje que dice provenir de tu dominio realmente lo hace. La verificación de correo protege la calidad de la lista a la que envías, asegurando que cada dirección sea real y alcanzable. Un dominio puede tener una política DMARC impecable y aun así perjudicar su reputación al enviar correo a direcciones muertas, así que ambas prácticas se complementan en lugar de solaparse.

VeriMails se encarga del lado del destinatario. Cada dirección que envías se comprueba mediante validación de sintaxis, una consulta MX y DNS, un handshake SMTP en vivo, detección de catch-all, detección de direcciones desechables y detección de direcciones por rol, eliminando las direcciones inválidas que rebotarían y erosionarían la reputación que tus registros DMARC, SPF y DKIM trabajan para proteger. Para ayudar en el lado de la autenticación, VeriMails ofrece un generador de DMARC gratuito que crea un registro con el formato correcto, de modo que puedas empezar en modo de monitoreo y endurecer la política a medida que tus informes confirmen que es seguro. Puedes verificar una lista mediante la REST API o una carga masiva por CSV, con categorías de entregabilidad claras para tomar decisiones de campaña. La verificación parte de $0.0019 por correo, con 10,000 créditos por $19 y planes anuales desde $12.50/month con facturación anual, y cada cuenta empieza con 100 créditos gratuitos, sin tarjeta de crédito, que nunca caducan.

Preguntas frecuentes