Las etiquetas DMARC explicadas: p, sp, pct, rua, ruf, fo, adkim, aspf

Qué significa

Un registro DMARC es un registro TXT en _dmarc.yourdomain.com. Está formado por etiquetas: nombres cortos seguidos de = y un valor, separados por punto y coma. Por ejemplo:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com; adkim=r; aspf=r

Solo v y p son obligatorias. Las demás son opcionales y tienen valores por defecto.

Por qué importa

Una etiqueta errónea puede dejar tu registro inservible, o impedir que lleguen los informes. Una etiqueta mal entendida también puede bloquear tus propios emails. Saber qué hace cada parte te permite cambiar tu política sin riesgo.

Las etiquetas una a una

Obligatorias

• v=DMARC1: la versión. Debe ir la primera, escrita exactamente así.
• p: la política para los emails que no superan DMARC. none significa solo observar, quarantine significa enviar a spam, reject significa rechazar el email.

Informes

• rua: adónde enviar los informes agregados, resúmenes diarios de quién ha enviado emails con tu dominio. Ejemplo: rua=mailto:dmarc@yourdomain.com. Muy recomendable.
• ruf: adónde enviar los informes de fallo, copias de emails concretos que fallan. Hoy pocos proveedores los envían, y pueden contener datos personales. La mayoría de la gente no la pone.
• fo: cuándo enviar los informes de fallo. 0 (por defecto) cuando falla todo, 1 cuando falla cualquier cosa. Solo es útil con ruf.

Alcance

• sp: la política para los subdominios, como shop.yourdomain.com. Sin ella, los subdominios siguen p.
• pct: el porcentaje de emails que fallan al que se aplica la política, de 0 a 100 (100 por defecto). Por ejemplo p=quarantine; pct=25 pone en cuarentena una cuarta parte de los emails que fallan. Es útil para avanzar poco a poco, pero las versiones nuevas de DMARC la están sustituyendo, así que no cuentes con ella mucho tiempo.

Alineación

• adkim: hasta qué punto el dominio DKIM debe coincidir con el dominio del From. r (relajada, por defecto) acepta subdominios; s (estricta) exige una coincidencia exacta.
• aspf: lo mismo, para el dominio SPF (el Return-Path).

Deja las dos en relajada salvo que tengas un buen motivo: el modo estricto rompe a menudo las herramientas de newsletters que usan un subdominio.

Cómo comprobarlo

• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tu registro DMARC y sus etiquetas.
• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón o la herramienta que quieres comprobar y abre el informe. La línea DMARC muestra el resultado y la política aplicada.

Registros seguros para cada etapa

Para empezar, solo observando:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Cuando los informes muestren que todos tus remitentes lo superan:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Protección completa, subdominios incluidos:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@yourdomain.com

Errores habituales

• Olvidar mailto: delante de la dirección de los informes.
• Comas en lugar de punto y coma entre las etiquetas.
• Dos registros DMARC con el mismo nombre: los receptores ignoran los dos.
• Enviar los informes a un dominio distinto del tuyo sin el registro de autorización que eso exige.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas. Vuelve a pasar el Escáner de dominio: el registro DMARC debería leerse sin errores y mostrar las etiquetas que has configurado.