Herramientas
Tu registro DMARC,
y el siguiente que publicar.
Lee lo que un dominio publica hoy y luego construye el registro que lo hace avanzar. Cada etiqueta explicada, nada inventado y un aviso allí donde una elección rompería correo real en silencio.
Construye el registro
Los receptores no cambian nada y solo te envían informes. El correo falsificado sigue llegando. Es una posición de medición, no una protección.
Si se deja en heredar, los subdominios siguen la política de arriba. Ponla más débil y mail.tudominio.com se convierte en la vía de entrada.
Un resumen XML diario de todo lo enviado en tu nombre. Sirve cualquier buzón de tu propio dominio; separa varias direcciones con comas.
Copias de fallos individuales. La mayoría de los receptores no los envían nunca, y los que lo hacen pueden incluir contenido del mensaje. Déjalo vacío salvo que sepas que lo quieres.
Relajada deja que firme un subdominio. Estricta exige el dominio exacto.
Estricta aquí es lo que rompe a la mayoría de los remitentes externos.
TXT_dmarcv=DMARC1; p=none;La mayoría de los registradores quieren _dmarc solo en el campo de nombre y te añaden el dominio. Unos pocos quieren la cosa entera. Si acabas con un registro en _dmarc.yourdomain.com.yourdomain.com, ya sabes de cuáles es el tuyo.
- Sin dirección para informes agregados. No descubrirás qué rompe esta política hasta que alguien te diga que su correo nunca llegó.
Publica esto y luego déjalo en paz entre dos y cuatro semanas. Los informes agregados nombrarán todos los servicios que envían como tu dominio. Arregla los que fallan y no deberían, y luego vuelve y pasa a quarantine.
Todas las etiquetas DMARC
v=DMARC1- La versión, y tiene que ser la primera etiqueta del registro. Un registro que no empieza por ella se ignora.
p=none · quarantine · reject- Qué deben hacer los receptores con el correo que falla. La única etiqueta obligatoria además de v.
sp=none · quarantine · reject- La política para los subdominios. Si se omite, los subdominios heredan p. Ponerla más débil que p es como se falsifican los dominios a través de mail.acme.com.
pct=0–100- La parte del correo que falla a la que se aplica la política. Una rampa, no un ajuste. No hace absolutamente nada con p=none.
rua=dirección mailto:- Adónde van los informes agregados diarios. Sin ella estás aplicando a ciegas, así que en la práctica es obligatoria.
ruf=dirección mailto:- Informes forenses sobre fallos individuales. Pueden llevar contenido del mensaje, la mayoría de los receptores no los envían nunca y casi nadie los necesita.
adkim=r · s- Cuánto tiene que coincidir el dominio que firma con DKIM. Relajada permite subdominios; estricta exige el dominio exacto.
aspf=r · s- La misma pregunta para SPF. Estricta aquí rompe a la mayoría de los remitentes externos.
fo=0 · 1 · d · s- Cuándo generar un informe forense. Solo tiene sentido junto a ruf.
ri=segundos- Cada cuánto se quieren los informes agregados. Casi todo el mundo lo deja en el valor por defecto de 86400 (un día).
Preguntas que esto plantea
OpenEmail genera este registro por ti.
Añade un dominio y obtienes los registros MX, SPF y de firma exactos que hay que publicar, comprobados desde la pantalla de ajustes hasta que resuelven. El registro DMARC se genera junto a ellos y se deja deliberadamente para que lo publiques tú. Es una política sobre el correo que envías, y nadie debería elegir p=reject en tu nombre.
