Crear una política de DMARC

Este artículo explica qué es DMARC y cómo puede ayudar a validar tus correos electrónicos para protegerte contra actividades fraudulentas.

¿Qué es DMARC?

La Autenticación de Mensajes Basada en Dominio, Reporte y Conformidad (DMARC, por sus siglas en inglés) es una política de correo Entrante construida sobre los registros DKIM y SPF, diseñada para detectar y prevenir correos fraudulentos.

Cuando agregas una política DMARC a tu dominio, eliges informar al destinatario de que tus correos están protegidos por registros DKIM y/o SPF y qué hacer si tu política DMARC no se alinea con esos registros.

Ejemplo del proceso de validación DMARC:

1. El remitente agrega una política de DMARC a su dominio.
2. El remitente envía el correo.
3. El servidor del destinatario revisa si el correo contiene una política de DMARC.
4. El servidor del destinatario verifica si los registros DKIM/SPF mencionados en la política DMARC del remitente son válidos.
5. El servidor del destinatario verifica si los registros DKIM/SPF válidos también pasan algo llamado 'alignment' o 'alineación'.
   • Si el 'alignment' pasa, el correo es recibido.
   • Si el 'alignment' no pasa (aún si las verificaciones de DKIM/SPF pasan), entonces el mensaje falla.

Este proceso de validación ayuda a garantizar que las actividades fraudulentas que parecen provenir del dominio sean bloqueadas.

Los siguientes pasos explican cómo configurar una política DMARC en tu dominio.

 

Crear correos reporte

Crea dos direcciones de correo separadas para recibir informes agregados diarios y forenses de DMARC. Se recomienda crear dos direcciones de correo electrónico, ya que puedes recibir un gran número de informes. Por ejemplo:

• dmarc_agg@example.com
• dmarc_forensic@example.com

Crear registros DKIM y SPF

Configura un registro DKIM y/o SPF en tu dominio. Se recomienda habilitar ambos registros para aprovechar al máximo la política DMARC. Revisa los siguientes artículos para más información:

• Registros DKIM
• Generalidades sobre los registros SPF
• Agregar un registro SPF

Agregar un registro DMARC en el panel

1. Navega a la página Administrar Sitios Web.
2. Da clic en el botón Administrar para abrir la página de Configuraciones de Dominios, la cual te permite ajustar múltiples configuraciones de tu sitio.
   • Si estás en la Vista de Malla, da clic en el botón Administrar en la parte inferior de la caja del sitio.
   • Si estás en la Vista de Lista, da clic en el botón Administrar a la derecha de tu dominio.

   

3. Haz clic en la pestaña DNS.
4. Da clic en el botón Añadir Registro.
5. Pasa el cursor sobre la sección Registro TXT y haz clic en el enlace AÑADIR.

   

6. Ingresa lo siguiente:
   • Host: _dmarc
   • Valor de TXT*: A continuación, se presenta una configuración básica que cubre la mayoría de tus necesidades con DMARC. Solo asegúrate de ajustar las direcciones de correo a las que creaste anteriormente para recibir los informes entrantes.

     v=DMARC1; p=quarantine; fo=1; rua=mailto:dmarc_agg@example.com;ruf=mailto:dmarc_forensic@example.com;pct=100

     Revisa la sección 'Etiquetas de DMARC' a continuación para ver más detalles de las diferentes opciones que puedes usar.

7. Haz clic en el botón Añadir Registro para guardar.

Después de hacer clic en el botón Añadir Registro, comienza la propagación de DNS del nuevo registro. Esto puede tardar hasta 6 horas antes de que el nuevo registro se actualice en línea.

La política DMARC verifica el nombre de dominio que aparece en el campo From: (De:) del mensaje. Luego compara ese dominio con otros nombres de dominio autenticados que figuran en el encabezado del correo electrónico.

• Si son idénticos, tu política DMARC está alineada.
• Si no están alineados, debes contactar a tu proveedor de servicios de correo y solicitar instrucciones para asegurarte de que tus registros estén alineados.

Alineación estricta (strict) y relajada (relaxed)

La alineación en su política puede configurarse como estricta o relajada:

• Alineación estricta : los dominios deben ser idénticos
• Alineación relajada: el 'Dominio Organizacional' de nivel superior debe coincidir.

El 'Dominio Organizacional' es el nombre de tu dominio, seguido del sufijo. Por ejemplo:

• example.com
• example.net
• example.com.au

La política DMARC del remitente contiene direcciones de correo para informes (establecidas en las etiquetas rua y ruf) para manejar los correos que fallan en la autenticación. Se pueden crear dos tipos de informes:

• Agregar reportes: Estos informes se envían en formato XML una vez al día, consistiendo en datos agregados de todas las fallas de DMARC. Esta dirección de correo se establece con la etiqueta rua.
• Reportes forenses (Conocidos como informes de fallos): Estos informes se generan inmediatamente y consisten en correos individuales que han fallado. Esta dirección de correo se establece con la etiqueta ruf.

Analizar los reportes

Puedes usar una herramienta como la siguiente para analizar tus informes.

• DMARC Report Analyzer

Probar los correos recibidos por alineación.

Los siguientes pasos revisan los encabezados de los correos recibidos para confirmar si pasarán la alineación:

1. Envía un correo a usted mismo (o a otra dirección que poseas).
2. Revisa los encabezados de correo recibidos.
3. Verifica la alineación del dominio identificando el dominio que figura como dirección de envío. Puede estar ubicado en los siguientes lugares:

   Field	Example
   El dominio del Remitente (Envelope From)	From: admin@example.com
   El Camino de Regreso (Return-Path) o	<admin@example.com>
   El d=domain en la firma de DKIM (DKIM-Signature)	DKIM-Signature: v=1; a=rsa-sha1; c=relaxed; d=example.com;

   Los dominios mencionados en todas estas áreas deben ser idénticos, de lo contrario, DMARC fallará en la alineación.

Los registros DMARC utilizan etiquetas para definir cómo se debe implementar el registro DMARC. De las 11 etiquetas disponibles, solo 2 son obligatorias, pero se recomiendan otras. Revisa la información a continuación para más detalles.