What is the difference between the From header and the Return-Path?

The From header is the visible sender address recipients see, and DMARC aligns against it. The Return-Path, also called the envelope sender or MAIL FROM, is the bounce address whose domain SPF checks. They can differ, which is why DMARC alignment is needed.

What is alignment in DMARC?

Alignment is the requirement that the domain authenticated by SPF or DKIM matches the domain in the visible From header. Relaxed alignment allows the organizational domains to match, while strict alignment requires an exact domain match. Alignment is what makes DMARC resistant to spoofing.

What is ARC and why does it matter?

ARC, Authenticated Received Chain, records authentication results as a message passes through intermediaries such as mailing lists and forwarders. Because forwarding often breaks SPF and DKIM, ARC lets a final receiver see that the message passed authentication earlier, helping legitimate forwarded mail survive DMARC.

Is MTA-STS part of DMARC?

No. MTA-STS is a separate standard that enforces encrypted TLS connections between mail servers, and TLS-RPT (RFC 8460) reports on TLS failures. They complement DMARC by securing mail in transit, but they authenticate the connection, not the sender identity that DMARC covers.

What is the difference between SPF, DKIM and DMARC?

SPF authorizes sending servers, DKIM proves a message was signed by a domain and not altered, and DMARC ties both to the visible From address and sets the policy for failures.

What does DMARCbis change?

DMARCbis, published in May 2026 as RFC 9989, 9990 and 9991, replaces the retired RFC 7489. It removes pct, adds the t testing flag and the np policy for non-existent subdomains, and finds the organizational domain by walking the DNS tree. Existing valid records keep working.

Diccionario y glosario DMARC

[Respuesta rápida]

La autenticación de correo electrónico se basa en tres registros DNS : SPF enumera quién puede enviar para un dominio, DKIM firma cada mensaje y DMARC verifica que uno de ellos haya pasado por el dominio De visible y les dice a los receptores que entreguen, pongan en cuarentena o rechacen el correo que falla.

Hechos clave

›DMARC necesita SPF o DKIM para pasar con alineación al dominio De.
›p=reject is full protection; p=none only monitors.
›SPF permite como máximo 10 búsquedas DNS .
›BIMI muestra su logotipo solo una vez que se aplica DMARC .

Revisado por el equipo de investigación EmailAuth

Este glosario define los términos básicos de la autenticación de correo electrónico, desde los estándares en los que se basa DMARC hasta los informes y protocolos relacionados que lo rodean. Úselo como referencia rápida mientras lee registros DMARC o informes agregados.

125 términos

Un récord: Registro DNS que apunta un nombre de host a una dirección IPv4 (AAAA para IPv6 ).; registro MX Una búsqueda de registros
Adquisición de cuenta: Un atacante obtiene el control de un buzón real, por lo que su correo pasa SPF , DKIM y DMARC .; BEC
ADKIM: Configuración de etiquetas DMARC Alineación DKIM : r (relajado, predeterminado) permite subdominios, s (estricto) requiere una coincidencia exacta de dominio.; adkim=s; Alineación ASPF
Alineación: El requisito DMARC de que el dominio autenticado por SPF o DKIM coincida con el dominio visible De.; Pasar SPF o DKIM no es suficiente para DMARC . El dominio que pasó también debe ser el mismo o (en modo relajado) compartir un dominio organizacional con la dirección De que ve el lector.; ADKIM ASPF Encabezado desde Dominio organizacional ¿Qué es DMARC ? Analizador de encabezados de correo electrónico
ARC: Cadena recibida autenticada: permite a los reenviadores y las listas de correo conservar los resultados de autenticación originales.; Cada intermediario agrega un registro firmado de cómo era la autenticación cuando recibió el mensaje, para que el receptor final pueda confiar en los resultados de que el reenvío falló.; Sello ARC Reenvío
Sello ARC: El encabezado ARC-Seal cada intermediario agrega para firmar la cadena de resultados ARC .; ARC
ASPF: Configuración de etiqueta DMARC Alineación SPF : r (relajada) o s (estricta).; aspf=r; Alineación ADKIM
Authentication-Results: El encabezado de un receptor agrega la grabación de resultados SPF , DKIM y DMARC para un mensaje.; SPF DKIM DMARC Analizador de encabezados de correo electrónico

Retrodispersión: Rechace los mensajes que le envíen como spam que nunca envió porque su dirección fue falsificada.; suplantación de identidad
BEC: Compromiso de correo electrónico empresarial: fraude en el que los atacantes se hacen pasar por ejecutivos o proveedores por correo electrónico.; Normalmente, BEC solicita a Finanzas que cambien los datos bancarios o paguen una factura urgente. Las pérdidas ascienden a miles de millones cada año; DMARC elimina la ruta más sencilla: la suplantación de dominio exacto.; Ballenero Compromiso del correo electrónico del proveedor suplantación de identidad
BIMI: Indicadores de marca para identificación de mensajes: muestra su logotipo en las bandejas de entrada del correo que pasa DMARC .; BIMI necesita DMARC en cuarentena o rechazo, un logotipo en formato SVG Tiny PS y, para Gmail y Apple, un certificado VMC o CMC .; default._bimi.example.com TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem"; VMC CMC SVG pequeño PS ¿Qué es BIMI ? Comprobador BIMI
registro BIMI: Un registro TXT por defecto. _bimi.yourdomain apuntando a tu logo ( l=) y certificado ( a=).; BIMI VMC Crear un registro BIMI
Lista de bloqueo: Una lista pública de IP o dominios que envían spam; los receptores los utilizan para rechazar el correo.; Reputación del remitente Comprobador de listas negras y DNSSEC
marca de verificación azul: "Se muestra la marca de remitente verificado de Gmail para marcas con BIMI y VMC .; VMC
BOD 18-01: Directiva federal de EE. UU. que exige que las agencias ejecuten DMARC en p=reject.; p=reject
hachís corporal: El valor bh= en una firma DKIM : un hash del cuerpo del mensaje que debe coincidir al llegar.; firma DKIM
Remitente masivo: Término de Gmail y Yahoo para un dominio que envía alrededor de 5.000 o más mensajes al día a sus usuarios.; Requisitos del remitente de Google y Yahoo

registro CAA: Lista de registros DNS qué autoridades certificadoras pueden emitir certificados para un dominio.; verificador CAA
Canonicalización: Cómo se normaliza un mensaje antes de la firma DKIM : simple o relajado para encabezados y cuerpo.; firma DKIM
CIDR: Notación sin clase para un rango de IP, como 203.0.113.0/24 para 256 direcciones.; ip4 e ip6 Calculadora SPF CIDR
CMC: Certificado de Marca Común: un certificado BIMI que no requiere marca registrada.; VMC BIMI
Registro CNAME: Alias DNS que apunta un nombre de host a otro, a menudo utilizado para delegar claves DKIM a un proveedor.; Selector DKIM búsqueda CNAME

d= tag: El dominio de firma en una firma DKIM ; debe alinearse con el dominio De para DMARC .; Alineación firma DKIM
DANE: Autenticación de entidades nombradas basada en DNS: fija los certificados TLS en registros TLSA firmados por DNSSEC.; registro TLSA DNSSEC Comprobador DANE /TLSA
DNS pendiente: Un registro que apunta a un recurso de nube eliminado que otra persona puede reclamar.; Adquisición de subdominio
Residencia de datos: Mantener los datos almacenados y procesados en un país o región elegido.; Seguridad y confianza
Capacidad de entrega: Con qué confiabilidad llega su correo a la bandeja de entrada en lugar de spam o rechazo.; Reputación del remitente
Suplantación de nombre para mostrar: Falsificar sólo el nombre del remitente, como "Nombre del director ejecutivo" < random@gmail.com >; DMARC no puede detenerlo.; suplantación de identidad BEC
DKIM: Correo identificado por DomainKeys: una firma criptográfica que demuestra que un mensaje proviene de un dominio y no fue alterado ( RFC 6376 ).; El servidor emisor firma los encabezados y el cuerpo con una clave privada; Los receptores obtienen la clave pública del DNS y la verifican. A diferencia de SPF , DKIM normalmente sobrevive al reenvío.; Selector DKIM firma DKIM Alineación ¿Qué es DKIM ? búsqueda DKIM
Longitud de la clave DKIM: Tamaño de la clave RSA; La recomendación actual es 2048 bits, 1024 bits se considera débil.; Rotación de clave DKIM Ed25519
Rotación de clave DKIM: Reemplazar periódicamente las claves DKIM publicando un nuevo selector y retirando el antiguo.; Selector DKIM Longitud de la clave DKIM Guía de configuración DKIM generador DKIM
Selector DKIM: La etiqueta s= indica a los receptores qué clave pública DKIM deben recuperar, en el selector. _domainkey.domain.; s1._domainkey.example.com; DKIM Rotación de clave DKIM búsqueda DKIM
firma DKIM: El encabezado DKIM-Signature que lleva el dominio de firma ( d=), el selector ( s=) y la firma misma.; DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s1; ...; DKIM d= tag Firma DKIM explicada Analizador de encabezados de correo electrónico
DMARC: Autenticación, informes y conformidad de mensajes basados en dominio: política e informes basados en SPF y DKIM , ahora definidos por RFC 9989 (con RFC 9990 y 9991 para informes), que reemplazó RFC 7489 en mayo de 2026.; DMARC indica a los servidores de correo receptores qué hacer cuando un mensaje que dice ser de su dominio no cumple con la alineación SPF y DKIM : entregarlo, enviarlo a spam o rechazarlo. También les pide que le envíen informes, para que pueda ver todos los servicios que se envían como su dominio.; v=DMARC1; p=reject; rua=mailto:dmarc@example.com; Registro DMARC Alineación p=reject DMARCbis ¿Qué es DMARC ? Comprobador DMARC
Aplicación DMARC: Ejecutar DMARC en p=quarantine o p=reject para que el correo defectuoso se detenga.; p=reject p=quarantine Guías de configuración DMARC
Registro DMARC: Un registro TXT en _dmarc.yourdomain que publica la política DMARC y las direcciones de informes.; El registro es una lista de pares tag=value . Sólo se requieren v y p; el resto controla los subdominios, los informes y la alineación.; _dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:reports@example.com"; DMARC registro TXT RUA ¿Qué es un registro DMARC ? generador DMARC
DMARCbis: El antiguo nombre funcional de RFC 9989 , el estándar DMARC actual (mayo de 2026) que reemplazó RFC 7489 . Agrega las etiquetas np y t y un recorrido por el árbol DNS en lugar de la lista pública de sufijos.; DMARCbis ordena la especificación original: se elimina pct, t= reemplaza implementaciones parciales, np= cubre subdominios inexistentes y el dominio organizacional se encuentra subiendo por el árbol DNS . Publicado en mayo de 2026 como RFC 9989 , 9990 y 9991, ahora es simplemente DMARC . Los registros que son válidos hoy siguen funcionando.; DMARC RFC 9989 notario público etiqueta t psd Paseo por el árbol DNS ¿Qué es DMARC ?
límite de búsqueda DNS: SPF puede activar como máximo 10 mecanismos de consulta de DNS; más causa PermError.; include, a, mx, ptr, existe y redirige cada recuento hacia el límite, incluidas las búsquedas anidadas dentro de los registros de otros proveedores. Agregar algunas herramientas SaaS es suficiente para romperlo.; Error permanente Aplanamiento SPF El problema de búsqueda SPF Comprobador SPF
Propagación DNS: El retraso antes de un cambio DNS se ve en todas partes, ya que las respuestas almacenadas en caché caducan.; TTL Propagación DNS
Paseo por el árbol DNS: Método DMARCbis para encontrar el dominio organizacional consultando la jerarquía DNS .; DMARCbis Lista pública de sufijos
DNSSEC: Extensiones de seguridad DNS : firma criptográficamente las respuestas DNS para evitar manipulaciones.; DANE Comprobador de listas negras y DNSSEC
Edad del dominio: Cuánto tiempo lleva registrado un dominio; Los dominios muy nuevos son tratados con sospecha.; Comprobador de antigüedad del dominio
DORA: Ley de resiliencia operativa digital de la UE para empresas financieras, que cubre los riesgos de las TIC, incluido el correo electrónico.; NIS2
Ataque de degradación: Un atacante elimina STARTTLS para que el correo se envíe sin cifrar; MTA-STS y DANE lo impiden.; STARTTLS MTA-STS

Ed25519: Un algoritmo moderno de firma de claves cortas para DKIM ( RFC 8463 ), generalmente publicado junto con RSA.; Longitud de la clave DKIM
Encabezado de correo electrónico: Las líneas de enrutamiento y autenticación en la parte superior de un mensaje, legibles mediante "mostrar original".; Analizador de encabezados de correo electrónico
Remitente del sobre: La dirección Return-Path o MAIL FROM utilizada en SMTP , verificada por SPF .; Return-Path Encabezado desde
ESP: Proveedor de servicios de correo electrónico: una plataforma que envía correo por usted, como un servicio transaccional o de marketing.; Incluir Selector DKIM
Verificación de destino externa: Un registro DNS que permite que un dominio acepte recibir informes DMARC para otro.; example.com._report._dmarc.reports.vendor.com TXT "v=DMARC1"; RUA

FCrDNS: DNS inverso confirmado hacia adelante: el nombre de host PTR se resuelve en la misma IP.; registro PTR Comprobador DNS inverso
Bucle de retroalimentación: Un servicio donde un proveedor de buzones de correo le informa cuando los destinatarios reportan su correo como spam.; Tasa de quejas de spam
para: Etiqueta DMARC que elige cuándo se generan informes de fallas (forenses), como fo=1 para cualquier falla.; fo=1; RUF
Reenvío: Reenviar un mensaje a una nueva dirección; Por lo general, rompe SPF y, a veces, DKIM .; ARC SRS

Requisitos del remitente de Google y Yahoo: Desde 2024, los remitentes masivos a Gmail y Yahoo necesitan SPF , DKIM , DMARC , alineación, cancelación de suscripción con un solo clic y bajas tasas de spam.; Remitente masivo Cancelar suscripción con un clic Tasa de quejas de spam Reglas de remitente de Google y Yahoo Verificación del remitente de Google y Yahoo
Herramientas de administración de correo de Google: Panel gratuito de Google que muestra la tasa de spam, la reputación y la autenticación de su dominio en Gmail .; Tasa de quejas de spam

rebote duro: Un error de entrega permanente, como una dirección que no existe.; rebote suave
Fallo difícil ( -all ): Calificador SPF que indica que no se permite ningún remitente que no figura en la lista.; Error suave ( ~all )Neutro ( ?all )
Encabezado desde: La dirección De que se muestra a los destinatarios está protegida por el dominio DMARC .; Alineación Remitente del sobre
identidad HELO: El nombre de host que anuncia un servidor cuando se conecta; SPF también puede comprobarlo.; SPF
Homoglifo: Un carácter que se parece a otro, como cirílico a para latín a, utilizado en dominios similares.; Dominio similar

Incluir: Mecanismo SPF que autoriza el registro SPF de otro dominio, como include:_spf.google.com.; Registro SPF límite de búsqueda DNS
calentamiento IP: Aumentar gradualmente el volumen de una nueva IP de envío para que los proveedores generen confianza.; Reputación del remitente
ip4 e ip6: Mecanismos SPF que autorizan una dirección IP o un rango CIDR directamente sin una búsqueda DNS .; ip4:203.0.113.0/24 ip6:2001:db8::/32; CIDR Aplanamiento SPF
ISO 27001: Estándar internacional para un sistema de gestión de seguridad de la información.; Seguridad y confianza

l= tag: Límite de longitud corporal DKIM opcional; arriesgado porque los atacantes pueden agregar contenido después de la parte firmada.; firma DKIM
Dominio similar: Un dominio parecido al suyo, registrado para hacerse pasar por su marca.; Homoglifo Buscador de dominios similares

MTA: Agente de transferencia de correo: un servidor que envía o retransmite correo electrónico.; SMTP
MTA-STS: Seguridad de transporte estricta del agente de transferencia de correo: requiere TLS cifrado y validado para el correo entrante ( RFC 8461 ).; Publica un archivo de política a través de HTTPS y un registro TXT . Los servidores de envío luego se niegan a realizar entregas a través de una conexión no cifrada o falsificada.; _mta-sts.example.com TXT "v=STSv1; id=20260101"; TLS-RPT STARTTLS DANE Comprobador MTA-STS
registro MX: Registro DNS que nombra los servidores que reciben correo electrónico para un dominio.; MTA búsqueda MX

Neutro ( ?all ): Calificador SPF que no indica ninguna afirmación sobre remitentes no incluidos en la lista.; Error suave ( ~all )
NIS2: Directiva de ciberseguridad de la UE que exige que entidades esenciales e importantes gestionen los riesgos, incluidas las amenazas por correo electrónico.; DORA
notario público: Etiqueta DMARCbis que establece la política para subdominios que no existen en DNS .; A los atacantes les gusta enviar desde subdominios inventados como billing.example.com . np=reject los bloquea incluso mientras el resto de su política aún se está implementando.; np=reject; DMARCbis SP
registro NS: Registro DNS que nombra los servidores de nombres autorizados para un dominio.; Comprobador de servidor de nombres

Cancelar suscripción con un clic: Encabezado List-Unsubscribe-Post ( RFC 8058 ) requerido por Gmail y Yahoo para correo masivo.; Requisitos del remitente de Google y Yahoo
Dominio organizacional: El dominio registrado al que pertenece un subdominio, como example.com para mail.example.com .; Alineación Paseo por el árbol DNS Lista pública de sufijos

p=none: Política de seguimiento DMARC : se envían informes pero no se bloquea ningún correo.; Empiece aquí. Usted recopila informes, encuentra a todos los remitentes legítimos y corrige su autenticación antes de pasar a cuarentena y rechazar. Permanecer en p=none para siempre no brinda protección.; p=quarantine p=reject RUA Guías de configuración DMARC
p=quarantine: Política DMARC que pide a los destinatarios que traten el correo defectuoso como sospechoso, normalmente la carpeta de spam.; p=none p=reject
p=reject: Política DMARC que pide a los destinatarios que bloqueen el correo defectuoso: protección total.; En p=reject, los mensajes que no pasan por DMARC se rechazan antes de que lleguen a la bandeja de entrada, por lo que los atacantes no pueden enviarlos como su dominio exacto. Es el objetivo de cada proyecto DMARC .; p=none p=quarantine DMARC ¿Qué es DMARC ? Comprobador DMARC
Dominio estacionado: Un dominio de su propiedad pero desde el cual no envía correo; todavía necesita SPF -all y DMARC p=reject.; p=reject notario público
PCI DSS 4.0: Estándar de seguridad de tarjetas de pago cuya versión 4.0 espera controles anti-phishing como DMARC .; DMARC
pct: Etiqueta DMARC que aplica la política a un porcentaje de mensajes fallidos (eliminada en DMARCbis ).; pct=25; etiqueta t DMARCbis
Error permanente: Error permanente SPF , por ejemplo, demasiadas búsquedas o dos registros SPF ; Entonces SPF falla.; límite de búsqueda DNS Error de temperatura Comprobador SPF
Phishing: Mensajes engañosos que engañan a los destinatarios para que revelen sus credenciales, paguen dinero o instalen malware.; Phishing de lanza suplantación de identidad
psd: Etiqueta DMARCbis que marca un dominio como operador de sufijo público, como un dominio gubernamental o de registro.; psd=y; DMARCbis Dominio organizacional
registro PTR: Registro DNS inverso que asigna una IP a un nombre de host; Los proveedores de correo lo requieren al enviar IP.; FCrDNS Comprobador DNS inverso
Lista pública de sufijos: Una lista de terminaciones de dominio como . co.uk bajo el cual las personas registran nombres; DMARC original lo usó para encontrar el dominio organizacional.; Dominio organizacional Paseo por el árbol DNS

Modificador de redireccionamiento: SPF redirección = reemplaza todo el registro con el de otro dominio, que a menudo se usa para compartir una política entre dominios.; v=spf1 redirect=_spf.example.com; Incluir
Return-Path: Encabezado que registra el remitente del sobre, dónde van los rebotes.; Remitente del sobre Analizador de encabezados de correo electrónico
RFC 7489: La especificación DMARC original de 2015, ahora retirada: obsoleta por RFC 9989 en mayo de 2026.; RFC 7489 fue un documento informativo, nunca un estándar IETF . La orientación escrita en su contra todavía se aplica en su mayoría, pero sus etiquetas pct, rf y ri ya no existen según RFC 9989 .; RFC 9989 DMARCbis
RFC 9989: El estándar DMARC actual, publicado por el IETF en mayo de 2026 en Standards Track; deja obsoletos RFC 7489 y RFC 9091 .; RFC 9989 define la política, la alineación y el descubrimiento de políticas DMARC . En sus propias palabras: "Este documento deja obsoletos los RFC 7489 y 9091". Los informes se trasladaron a RFC 9990 (agregado) y RFC 9991 (fallo). v=DMARC1 no ha cambiado, por lo que los registros existentes siguen funcionando; Se eliminan pct, rf y ri y se agregan np, psd y t.; DMARC DMARCbis RFC 9990 RFC 9991 RFC 7489 ¿Qué es DMARC ?
RFC 9990: El estándar de informes agregados DMARC actual (mayo de 2026), que define los informes XML rua.; RFC 9990 dividió los informes agregados del antiguo RFC 7489 en su propio documento Standards Track.; RFC 9989 RUA
RFC 9991: El estándar actual de informes de fallas DMARC (mayo de 2026), que define los informes ruf.; RFC 9991 cubre informes de fallas (forenses) por mensaje, que anteriormente formaban parte de RFC 7489 .; RFC 9989 RUF
Rhode Island: Etiqueta DMARC que solicita el intervalo de informe agregado en segundos; la mayoría de los receptores envían diariamente independientemente.; ri=86400; RUA
RUA: Etiqueta DMARC para direcciones de informes agregados; Los informes son resúmenes XML diarios.; Los informes agregados enumeran cada IP que envió correo como su dominio, cuántos mensajes y si pasaron SPF , DKIM y DMARC . No contienen ningún contenido de mensaje.; RUF Registro DMARC Lectura de informes agregados Analizador de informes DMARC
RUF: Etiqueta DMARC para direcciones de informes forenses (fallos); Los informes describen mensajes de error individuales.; Los informes forenses pueden incluir encabezados y, a veces, contenido de mensajes defectuosos. Muchos grandes proveedores no los envían por motivos de privacidad.; RUA para Informes forenses

Reputación del remitente: La puntuación de confianza que los proveedores de buzones de correo otorgan a su dominio e IP, en función de la autenticación, las quejas y la participación.; Tasa de quejas de spam Lista de bloqueo
Remitente de TI en la sombra: Un servicio que se envía como su dominio y que TI no conoce; Los informes DMARC los revelan.; RUA
SMTP: Protocolo simple de transferencia de correo: el protocolo que utilizan los servidores para enviar y retransmitir correo electrónico.; MTA
registro SOA: Inicio de la autoridad: registro DNS que contiene el servidor principal de una zona, los temporizadores de serie y de actualización.; Comprobador SOA
SOC 2: Un informe de auditoría sobre los controles de seguridad, disponibilidad y confidencialidad de un proveedor de servicios.; Seguridad y confianza
rebote suave: Un error de entrega temporal, como un buzón lleno o una lista gris.; rebote duro
Error suave ( ~all ): El calificador SPF que marca a remitentes no listados como sospechosos pero no completamente falló.; Con DMARC implementado, ~all suele ser suficiente: DMARC toma la decisión final y softfail evita algunos problemas de reenvío.; Fallo difícil ( -all )Neutro ( ?all )
SP: Etiqueta DMARC que establece la política para subdominios.; sp=reject; notario público Registro DMARC
Tasa de quejas de spam: Proporción de destinatarios que marcan el correo como spam; Gmail lo quiere por debajo del 0,1% y nunca por encima del 0,3%.; Requisitos del remitente de Google y Yahoo Bucle de retroalimentación
Phishing de lanza: Phishing dirigido a una persona específica utilizando datos personales investigados.; Phishing Ballenero
SPF: Marco de políticas del remitente: un registro TXT que enumera los servidores autorizados para enviar para un dominio ( RFC 7208 ).; SPF permite al receptor comprobar si el servidor que entrega un mensaje puede enviarlo al dominio del remitente del sobre. Comprueba la Return-Path , no la dirección de origen visible, por lo que también es necesaria la alineación DMARC .; v=spf1 include:_spf.google.com -all; Registro SPF Remitente del sobre límite de búsqueda DNS ¿Qué es SPF ? Comprobador SPF
Aplanamiento SPF: Reemplazar SPF incluye rangos de IP para mantenerse dentro del límite de 10 búsquedas.; El aplanamiento corrige el límite de búsqueda, pero queda obsoleto cuando los proveedores cambian sus IP. El aplanamiento administrado o dinámico actualiza los rangos automáticamente.; límite de búsqueda DNS ip4 e ip6 El problema de búsqueda SPF Aplanador SPF
Macros SPF: Placeholders like %{i} that expand per message, used for advanced or per-sender SPF policies.; Registro SPF
Registro SPF: El registro TXT que comienza con v=spf1 que enumera los remitentes permitidos y termina con un calificador completo.; SPF Incluir Fallo difícil ( -all )Registro SPF explicado generador SPF
suplantación de identidad: Falsificar la dirección del remitente para que el correo parezca provenir de un dominio confiable.; La suplantación de dominio exacto es lo que detiene DMARC en p=reject . Los dominios similares y los trucos de nombres para mostrar necesitan otros controles.; Suplantación de nombre para mostrar Dominio similar p=reject
SRS: Esquema de reescritura del remitente: los reenviadores reescriben el remitente del sobre para que SPF aún pase.; Reenvío Remitente del sobre
STARTTLS: Comando SMTP que actualiza una conexión al cifrado TLS ; sin MTA-STS se puede desmontar.; MTA-STS Ataque de degradación
Adquisición de subdominio: Un atacante reclama un recurso al que apunta un registro pendiente y ofrece contenido o correo desde su subdominio.; DNS pendiente
SVG pequeño PS: El perfil SVG restringido requerido para los logotipos BIMI .; BIMI Crear un logotipo BIMI SVG Convertidor BIMI SVG

etiqueta t: Bandera de prueba DMARCbis : t=y solicita a los receptores que apliquen un nivel de política menos estricta mientras realiza la prueba.; p=reject; t=y; DMARCbis pct
Error de temperatura: Error temporal SPF o DKIM , normalmente un tiempo de espera DNS ; los receptores pueden volver a intentarlo o tratarlo como un fracaso.; Error permanente
TLS-RPT: Informes SMTP TLS : informes diarios de fallas en la entrega de TLS a su dominio ( RFC 8460 ).; _smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls@example.com"; MTA-STS Comprobador MTA-STS
registro TLSA: Registro DNS que publica una huella digital de certificado TLS para DANE .; DANE Comprobador DANE /TLSA
Correo electrónico transaccional: Mensajes uno a uno automatizados, como recibos y restablecimiento de contraseñas.; Remitente masivo
TTL: Tiempo de vida: cuánto tiempo los resolutores almacenan en caché una respuesta DNS antes de volver a preguntar.; Propagación DNS
registro TXT: Un registro DNS que contiene texto; utilizado para SPF , DKIM , DMARC , BIMI , MTA-STS y TLS-RPT .; Registro DMARC Registro SPF

Compromiso del correo electrónico del proveedor: BEC realizado desde el buzón real secuestrado de un proveedor.; BEC
VMC: Certificado de marca verificada: un certificado respaldado por una marca registrada que permite Gmail y Apple mostrar su logotipo BIMI .; CMC BIMI
búsqueda vacía: Una consulta DNS SPF que no devuelve registros; más de dos búsquedas nulas provocan PermError.; límite de búsqueda DNS Error permanente

Ballenero: Spear phishing dirigido a altos ejecutivos.; Phishing de lanza BEC

Preguntas frecuentes

¿Cuál es la diferencia entre el encabezado From y Return-Path ?

El encabezado De es la dirección visible del remitente que ven los destinatarios, y DMARC se alinea con él. Return-Path , también llamado remitente del sobre o MAIL FROM, es la dirección de rebote cuyo dominio SPF verifica. Pueden diferir, por lo que es necesaria la alineación DMARC .

¿Qué es la alineación en DMARC ?

La alineación es el requisito de que el dominio autenticado por SPF o DKIM coincida con el dominio en el encabezado De visible. La alineación relajada permite que los dominios de la organización coincidan, mientras que la alineación estricta requiere una coincidencia de dominio exacta. La alineación es lo que hace que DMARC sea resistente a la suplantación de identidad.

¿Qué es ARC y por qué es importante?

ARC , cadena recibida autenticada, registra los resultados de la autenticación a medida que un mensaje pasa a través de intermediarios como listas de correo y reenviadores. Debido a que el reenvío a menudo rompe SPF y DKIM , ARC permite que un receptor final vea que el mensaje pasó la autenticación antes, lo que ayuda a que el correo legítimo reenviado sobreviva DMARC .

¿ MTA-STS es parte de DMARC ?

No. MTA-STS es un estándar independiente que exige conexiones TLS cifradas entre servidores de correo y TLS-RPT ( RFC 8460 ) informa sobre fallas TLS . Complementan DMARC al proteger el correo en tránsito, pero autentican la conexión, no la identidad del remitente que cubre DMARC .

¿Cuál es la diferencia entre SPF , DKIM y DMARC ?

SPF autoriza el envío de servidores, DKIM demuestra que un mensaje fue firmado por un dominio y no fue alterado, y DMARC vincula ambos a la dirección De remitente visible y establece la política para fallas.

¿Qué cambia DMARCbis ?

DMARCbis , publicado en mayo de 2026 como RFC 9989 , 9990 y 9991, reemplaza al RFC 7489 retirado. Elimina pct, agrega el indicador de prueba t y la política np para subdominios inexistentes y encuentra el dominio organizacional recorriendo el árbol DNS . Los registros válidos existentes siguen funcionando.

[ DMARC guía ]

¿Qué es DMARC ? Cómo funciona y las 3 políticas ¿Qué es un registro DMARC ?Beneficios DMARC Informes agregados de RUA y DMARC Informes forenses RUF y DMARC Guías de configuración DMARC Comprobador DMARCherramienta gratuita Generador DMARCherramienta gratuita Analizador de informes DMARCherramienta gratuita

Parte de la base de conocimientosDiagnóstico y recursos de trabajo. · 27 guías

Procedencia de la empresa

Por qué las principales instituciones financieras y gobiernos retiraron sus paneles de seguridad de correo electrónico.

Las plataformas tradicionales de autenticación de correo electrónico le venden un panel y piden a sus ingenieros que hagan el trabajo. En entornos de alto riesgo, la supervisión manual significa retrasos en la aplicación, cambios en la configuración y dominios en la sombra no monitoreados.

EmailAuth es la plataforma de procedencia de correo electrónico agente. Nuestros agentes hacen cumplir p=reject, mantenga alineados a los remitentes externos y mueva sus dominios al máximo RFC 9989 cumplimiento, el nuevo estándar DMARC , con auditabilidad humana.

Gobiernos Grandes empresas Instituciones financieras de primer nivel

SaaS · Arrendamiento dedicado · Air-gapped on-premise · Cifrado BYOK

diccionario DMARC