Autenticación del correo para subdominios

Qué significa

Un subdominio es un nombre bajo tu dominio, como news.yourdomain.com o mail.yourdomain.com. Las empresas los usan para separar las newsletters, los emails de la tienda o las herramientas de soporte de su correo principal.

Cada registro de correo se comporta de forma distinta con los subdominios:

• SPF no se hereda. El SPF de yourdomain.com no cubre news.yourdomain.com. Un subdominio que envía necesita su propio registro SPF.
• Las claves DKIM están bajo el dominio que firma: selector._domainkey.news.yourdomain.com si el email se firma para el subdominio.
• DMARC se hereda. Si un subdominio no tiene registro DMARC, los receptores usan el del dominio principal. Su etiqueta sp= define la política para los subdominios; sin ella, p= también se les aplica.

Por qué importa

• Una herramienta de newsletters en un subdominio sin SPF ni DKIM falla la autenticación.
• Los estafadores pueden inventarse subdominios como billing.yourdomain.com para enviar emails falsos si tu DMARC no los cubre.
• Pasar el dominio principal a p=reject también afecta a los subdominios, así que deben estar preparados.

Cómo comprobarlo

• Usa el Escáner de dominio en /domain-scanner con el nombre del subdominio para ver su SPF, DMARC y MX.
• Envía un email de prueba desde la herramienta que usa el subdominio a la dirección de prueba de la página de inicio. El informe muestra para qué dominio se comprobaron SPF y DKIM, y si DMARC está alineado.

Cómo solucionarlo

1. Añade un SPF en cada subdominio que envía, solo con los servicios que envían por él:

   news.yourdomain.com  TXT  "v=spf1 include:spf.newsletter-example.com ~all"

   Muchos servicios de email se encargan de esto por ti con un subdominio personalizado de «return path» o de «bounce»; sigue su página de configuración.
2. Configura DKIM para el subdominio en la herramienta de envío, y publica el registro que te da, en el nombre que te indica.
3. Elige la política DMARC para los subdominios en el dominio principal:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=quarantine; sp=reject; rua=mailto:dmarc@yourdomain.com"

   Aquí el dominio principal se pone en cuarentena y todos los subdominios se rechazan cuando fallan.
4. Da a un subdominio su propia política si necesita otra distinta, por ejemplo mientras pruebas una herramienta nueva:

   _dmarc.news.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

Sobre la alineación

Por defecto, DMARC usa la alineación «relaxed» (flexible): un email con From news.yourdomain.com se supera si SPF o DKIM se superan para cualquier nombre bajo yourdomain.com. La alineación estricta (adkim=s, aspf=s) exige exactamente el mismo nombre.

Consejos

• Los subdominios que nunca envían emails también deben protegerse: un sp= estricto los cubre todos de una vez.
• Lee tus informes DMARC antes de endurecer sp=, para encontrar los subdominios que habías olvidado. La monitorización DMARC de Delivmail en el panel de pago puede ayudarte.

Comprueba que está solucionado

Al cabo de unos minutos, ejecuta el Escáner de dominio sobre el subdominio y después envía un nuevo email de prueba desde la herramienta que lo usa. SPF, DKIM y DMARC deberían superarse para el subdominio.