Protege los dominios que nunca envían emails

Qué significa

Muchas empresas tienen dominios que nunca usan para el correo: una variante ortográfica, un antiguo nombre de la empresa, un dominio reservado para un proyecto futuro, una versión de país que solo redirige a la web principal.

Un dominio sin registros de correo no da ninguna instrucción a los receptores. A los estafadores les encantan estos dominios: pueden enviar phishing «desde» ellos, y los receptores no tienen ningún motivo claro para rechazarlo.

Por qué importa

• El phishing que usa tu marca en un dominio de reserva sigue dañando tu nombre.
• Backscatter: cuando rebota el spam que lleva tu dominio, los rebotes pueden volver a ti.
• Lleva cinco minutos y no cuesta nada.

Cómo comprobarlo

Escribe cada dominio sin usar en /domain-scanner. Un dominio que no envía emails debería mostrar un SPF estricto, un registro DMARC con p=reject y ningún MX, o un «null MX».

Cómo solucionarlo

Abre el proveedor de DNS de cada dominio sin usar y añade estos registros.

1. SPF nulo: ningún servidor puede enviar por este dominio.

   yourdomain.com  TXT  "v=spf1 -all"

2. DMARC reject: rechaza cualquier email que diga venir de él.

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s"

   Puedes añadir rua=mailto:dmarc@yourmaindomain.com para recibir informes sobre los intentos de abuso. Enviar los informes a una dirección de otro dominio puede requerir un registro de autorización adicional en ese dominio; consulta las instrucciones de tu servicio de informes DMARC.
3. Null MX si el dominio tampoco debe recibir emails. Indica inmediatamente a los remitentes que el dominio no acepta ningún email, en lugar de dejarles reintentar durante días:

   yourdomain.com  MX  0  .

   El valor es un solo punto con prioridad 0. Elimina antes cualquier otro registro MX. Algunos paneles DNS no aceptan un punto solo; en ese caso, simplemente no tengas ningún registro MX.

Opcional: revocar DKIM

Algunos expertos también publican una clave DKIM vacía para todos los selectores, de modo que cualquier firma que use el dominio falle:

*._domainkey.yourdomain.com  TXT  "v=DKIM1; p="

No es obligatorio: SPF -all más DMARC p=reject ya hacen que todos los emails fallen.

Ten cuidado

• Asegúrate de que el dominio de verdad nunca envía, ni siquiera un formulario web, una impresora, una herramienta de facturación o un buzón antiguo. Estos registros los bloquean todos.
• No uses null MX en un dominio que recibe emails, aunque sea para una sola dirección de reenvío.
• Hazlo también para los subdominios que no usas: sp=reject en tu dominio principal los protege todos de una vez.
• Mantén los dominios renovados: un dominio caducado puede comprarlo otra persona, con todo su historial.

Comprueba que está solucionado

Espera unos minutos a que el DNS se actualice y después vuelve a ejecutar el Escáner de dominio en cada dominio. Debería encontrar v=spf1 -all, un registro DMARC con p=reject y, o bien el null MX, o bien ningún MX. Repite la comprobación cada vez que compres un dominio nuevo.