Las listas de correo y Google Groups rompen DMARC

Qué significa

Una lista de discusión (Google Groups, Mailman, una dirección de grupo en Microsoft 365, muchas herramientas de foros) recibe tu email y envía una copia a cada miembro. Por el camino, a menudo:

• lo envía desde sus propios servidores, así que tu SPF ya no coincide;
• modifica el contenido: añade una etiqueta como [club] al asunto o un pie con un enlace de baja, lo que rompe tu firma DKIM.

Con SPF y DKIM rotos para tu dominio, DMARC falla. Si tu dominio usa p=quarantine o p=reject, puede que los miembros nunca reciban tu mensaje.

Por qué importa

• Tus mensajes a una lista van a spam en silencio para algunos miembros.
• Si fallan muchas copias, la lista puede contar los rebotes e incluso dar de baja a miembros automáticamente.
• Tus informes DMARC muestran fallos desde servidores que no conoces, lo que puede parecer suplantación.

Cómo lo resuelven las listas

Reescribir el From

La mayoría de herramientas de listas modernas cambian la cabecera From cuando el dominio del remitente tiene una política DMARC estricta:

From: Jane Smith via Club Members <club@lists.example.com>
Reply-To: jane@yourdomain.com

Ahora el email viene del dominio de la lista, que supera su propio DMARC. Las respuestas siguen llegando al remitente. Google Groups lo hace automáticamente. En Mailman, busca los ajustes de mitigación DMARC («munge From» o «wrap message»).

ARC

ARC (Authenticated Received Chain) permite a la lista añadir una nota sellada que dice «SPF y DKIM se superaron cuando recibí esto». Los grandes receptores como Gmail y Microsoft pueden fiarse de esa nota cuando viene de intermediarios conocidos. Google Groups añade ARC. Ayuda, pero cada receptor decide si se fía o no.

Qué hacer

Si gestionas una lista

1. Activa la reescritura del From para los remitentes cuyos dominios usan p=quarantine o p=reject (o para todos).
2. Evita modificar los mensajes si puedes: sin etiquetas en el asunto ni pies, DKIM se mantiene intacto.
3. Autentica el propio dominio de la lista con SPF, DKIM y DMARC.
4. Para los receptores de Microsoft 365, un administrador puede añadir un servicio de listas a los selladores ARC de confianza.

Si envías a listas

• Asegúrate de que DKIM firma todos tus emails; con las listas que no modifican los mensajes, DKIM sobrevive.
• Antes de pasar a p=reject, busca los servidores de listas en tus informes DMARC y pide a los administradores de las listas que activen la reescritura del From.
• La monitorización DMARC de Delivmail, en el panel de pago, te ayuda a detectar estos orígenes en tus informes.

Comprueba que está solucionado

Primero envía un email de prueba directamente desde la página de inicio de Delivmail: debería superar SPF, DKIM y DMARC, lo que demuestra que tu propia configuración es correcta. Después publica en la lista y pregunta a un miembro con Gmail u Outlook si el mensaje le ha llegado a la bandeja de entrada, con el nombre de la lista en el From.