Para configurar DMARC de forma segura, primero publique un registro de monitoreo, use sus informes para autenticar cada fuente de envío legítima y luego aumente la política en etapas, desde ninguna hasta cuarentena y rechazo. El orden importa: aplicarlo antes de que pasen las fuentes bloqueará el correo real. Si lo hace en secuencia, obtendrá una protección total sin interrumpir la entrega.
Antes de empezar
DMARC depende de SPF y DKIM , así que primero confirme que ambos existen. SPF ( RFC 7208 ) enumera las IP y los servicios permitidos para enviar para su dominio en un registro TXT . DKIM añade una firma criptográfica publicada como clave pública en DNS . Necesita que al menos uno de ellos pase y esté alineado para que pase DMARC , e idealmente ambos. También tenga en cuenta el límite de búsqueda DNS SPF 10: un registro SPF que activa más de diez búsquedas DNS falla, lo que luego rompe la alineación DMARC .
Paso a paso
- 1
1. Publicar un registro de seguimiento
Agregue un registro TXT en _dmarc con v=DMARC1; p=none; rua=mailto:rua@example.com. Esto recopila datos sin afectar la entrega.
- 2
2. Reúna informes
Espere de dos a cuatro semanas y lea los informes agregados ( RUA ) para ver cada fuente que envía como su dominio.
- 3
3. Autenticar cada fuente
Para cada remitente legítimo, configure SPF y DKIM para que pase y se alinee con su dominio De.
- 4
4. Pasar a cuarentena
Cuando el correo legítimo pasa de manera constante, establezca p=quarantine, opcionalmente, use pct para aumentar gradualmente.
- 5
5. Mover para rechazar
Una vez que la cuarentena no muestre ningún error en el correo legítimo, configure p=reject para una protección total.
- 6
6. Sigue monitoreando
Continúe leyendo los informes para detectar a tiempo los nuevos servicios y cualquier abuso.
El camino de lanzamiento
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Manejar el límite de búsqueda SPF
Muchas organizaciones exceden el límite de búsqueda DNS SPF 10 a medida que agregan servicios en la nube, lo que silenciosamente rompe SPF y socava DMARC . Aplanar SPF resuelve los mecanismos incluidos en direcciones IP directas para que usted se mantenga por debajo del límite. SmartSPF de EmailAuth aplana su registro SPF automáticamente y lo mantiene actualizado a medida que sus proveedores cambian sus IP.
Errores comunes
- Saltar a p=reject antes de que se autentiquen las fuentes, lo que bloquea el correo real.
- Olvidar subdominios: establezca una política sp o podrían quedar desprotegidos.
- Publicar dos registros DMARC , lo que invalida DMARC por completo.
- Ignorar el límite de búsqueda SPF 10, lo que rompe la alineación SPF y DMARC .
- Hacer cumplir los informes y no volver a comprobarlos nunca más, para que los nuevos remitentes pasen desapercibidos.
Facilite la gestión continua
EmailAuth puede alojar sus registros DMARC , SPF , DKIM y BIMI mediante delegación CNAME , por lo que puede señalar DNS una vez y administrar los cambios de políticas en un panel en lugar de editar DNS repetidamente. Analiza RUA y RUF por usted y marca las fuentes que aún necesitan trabajo. Para ver su punto de partida, ejecute un escaneo de dominio gratuito, luego siga la ruta por etapas anterior para llegar a p=reject.
Preguntas frecuentes
¿Cómo configuro DMARC sin interrumpir el correo electrónico?
Comience con p=none, que monitorea sin afectar la entrega. Utilice los informes agregados para autenticar a cada remitente legítimo con SPF y DKIM , luego pase a cuarentena y finalmente rechace. El enfoque por etapas significa que nunca se aplicará hasta que se hayan confirmado los pases de correo reales.
¿Cuánto tiempo debo permanecer en p=none?
El tiempo suficiente para ver una imagen completa de sus fuentes de envío, normalmente de dos a cuatro semanas para la mayoría de las organizaciones. Si envía a través de muchos servicios o tiene remitentes estacionales, espere más. Continúe solo cuando sus informes muestren que todo el correo legítimo pasa y se alinea.
¿Cuál es el límite de búsqueda DNS SPF 10?
La evaluación SPF tiene un límite de diez búsquedas DNS . Si la inclusión de su registro y otros mecanismos activan más de diez, SPF devuelve un permerror y falla, lo que rompe la alineación DMARC . Aplanar el registro SPF en IP directas, por ejemplo con EmailAuth SmartSPF , lo mantiene por debajo del límite.
¿Necesito un registro DMARC separado para los subdominios?
No necesariamente. Los subdominios heredan la política del dominio organizacional a menos que establezca la etiqueta sp o publique un registro dedicado en _dmarc.subdomain. Utilice sp para aplicar una política diferente a los subdominios y proteja explícitamente los subdominios no utilizados para que no puedan ser falsificados.
[ DMARC guía ]
Procedencia de la empresa
Por qué las principales instituciones financieras y gobiernos retiraron sus paneles de seguridad de correo electrónico.
Las plataformas tradicionales de autenticación de correo electrónico le venden un panel y piden a sus ingenieros que hagan el trabajo. En entornos de alto riesgo, la supervisión manual significa retrasos en la aplicación, cambios en la configuración y dominios en la sombra no monitoreados.
EmailAuth es la plataforma de procedencia de correo electrónico agente. Nuestros agentes hacen cumplir p=reject, mantenga alineados a los remitentes externos y mueva sus dominios al máximo RFC 9989 cumplimiento, el nuevo estándar DMARC , con auditabilidad humana.
SaaS · Arrendamiento dedicado · Air-gapped on-premise · Cifrado BYOK