Cómo leer los informes agregados DMARC (rua)

Qué significa

Cuando tu registro DMARC contiene una dirección rua=, receptores como Google, Microsoft y Yahoo te envían un resumen diario llamado informe agregado. Enumera todas las direcciones IP que han enviado emails usando tu dominio, cuántos emails y si superaron SPF y DKIM.

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Los informes llegan como adjuntos comprimidos (.zip o .gz) que contienen un archivo XML. Están pensados para máquinas, pero puedes leerlos.

Por qué importa

• Muestran todos tus remitentes, incluidos los que habías olvidado: una herramienta de facturación, un servidor antiguo, la app de un compañero.
• Revelan a quienes intentan enviar emails falsos con tu dominio.
• Los necesitas antes de pasar DMARC de p=none a quarantine o reject, para estar seguro de que no se bloqueará nada legítimo.

Las partes principales de un informe

Quién envió el informe

En report_metadata: org_name (por ejemplo google.com), un report_id y un date_range, normalmente de 24 horas, escrito como timestamps Unix.

Tu política publicada

En policy_published: el registro DMARC que vio el receptor, como p=none y los modos de alineación.

Un bloque por origen

Cada record describe una IP de envío:

<source_ip>203.0.113.10</source_ip>
<count>42</count>
<disposition>none</disposition>
<dkim>pass</dkim>
<spf>fail</spf>
<header_from>yourdomain.com</header_from>

• count: número de emails desde esta IP.
• disposition: lo que hizo el receptor (none, quarantine, reject).
• dkim y spf bajo policy_evaluated: el resultado DMARC, que exige que el dominio coincida con el dominio de tu From. Basta con un pass para que DMARC se supere.
• auth_results: las comprobaciones SPF y DKIM en bruto, con el dominio que se comprobó realmente. Compáralo con header_from para entender los fallos de alineación.

Cómo usarlos

1. Identifica cada IP. Busca su nombre de DNS inverso o su propietario. Nombres como google.com, outlook.com o el dominio de tu herramienta de newsletters suelen ser tuyos.
2. Clasifícalas en tres grupos:
   • Tus servicios, que superan: nada que hacer.
   • Tus servicios, que fallan: añádelos al SPF, o configura DKIM con tu dominio en ese servicio.
   • IP desconocidas que lo fallan todo: probablemente suplantación. Tu futura política reject las bloqueará.
3. Sigue la tendencia durante unas semanas antes de endurecer tu política.

Nota: los emails reenviados y las listas de correo suelen aparecer como fallos desde IP que no conoces. Un número pequeño es normal.

Hazlo más fácil

Leer XML a mano se vuelve pesado cuando recibes muchos informes. Usa un buzón dedicado para rua y plantéate una herramienta que recoja y resuma los informes. La monitorización DMARC del panel de pago lo hace para tus dominios.

Comprueba que funciona

Analiza tu dominio en /domain-scanner para confirmar que el registro DMARC tiene una dirección rua válida. Los informes suelen empezar a llegar en uno o dos días, desde los proveedores que usan tus destinatarios.