DMARC – protección contra el phishing y los correos marcados como SPAM
Te escribimos este artículo para recordarte you that due to changes introduced by Google from February 1st for email senders, you must configure SPF and DKIM records for your domain to prevent your emails from being marked as spam or rejected by receiving servers.
SPF y DKIM son el primero de los dos pasos you need to complete. The next is setting up the DMARC record. But let us take this step by step.
1. SPF and DKIM authentication records for your domain
Como recordatorio, los registros SPF y DKIM are authentication records that tell recipient servers that you are who you say you are and that the sending server is authorized to send messages on behalf of your domain.
If you are unsure what this means, first read our article About SPF and DKIM settings for your mail server, then come back to this article.
In addition to configuring SPF and DKIM, you also need to set up a DMARC record (another authentication record). Do this by the end of March so your emails do not end up in spam from April 1st onward, when Google tightens its policy.
2. The DMARC record
¿Qué es DMARC?
DMARC (Domain-based Message Authentication, Reporting, and Conformance) is an email authentication, policy, and reporting protocol that helps protect against phishing attacks and other online fraud.
It permite a los destinatarios verificar si un mensaje es auténtico. La política DMARC también permite especificar qué ocurre to an email if it fails authentication — puede ser enviado a spam o rechazado.
Para que DMARC funcione correctamente, primero debes configurar SPF and DKIM records for your domain, ya que DMARC es una solución complementaria que amplía su funcionamiento. Espera 48 horas después de configurar SPF y DKIM antes de configurar DMARC.
¿Por qué configurar DMARC?
Indica al servidor de correo entrante si a message that did not pass SPF and DKIM verification should be accepted or rejected, and whether a report should be generated and sent to a specified email address. Esto mejora la seguridad de tu dominio and gives you better control over email messages.
El registro DMARC verifica que el dominio utilizado en el campo Encabezado/De (the sender email) es realmente el remitente. It compares it to the domain(s) found in the SPF or DKIM record.
Para garantizar la alineación de estos dominios, the domain used to generate the DKIM signature must match the Header/From domain, while SPF must confirm that the sending server IP was authorized by the domain owner specified in the SMTP MailFrom command.
El proceso, en términos simplificados, funciona así:
- Con DMARC configurado, tras el envío de un correo el servidor de correo entrante verifica en el DNS for the DMARC policy set for the sender domain,
- El mensaje se evalúa por la validez de la firma DKIM and whether the sender IP is on the list of authorized IPs in the SPF record.
- Si todo coincide, el mensaje llega a la bandeja de entrada.
Si el correo no pasa la autenticación, lo que ocurre con él depende de la política DMARC del dominio del remitente.
3. Añadir el registro DMARC
You define the DMARC record by adding the appropriate entry in your domain DNS settings.
Antes de añadir el registro DMARC, prepara un archivo de texto o una línea que contenga el registro de políticas.
Preparar el registro DMARC
Un registro DMARC es texto plano containing a list of DMARC tags and values separated by semicolons. Algunas etiquetas son obligatorias; otras son opcionales.
Las políticas DMARC indican a los servidores receptores qué acciones to take with unauthenticated messages from your domain. Estas acciones se almacenan en la etiqueta de política (p).
A continuación se muestra un ejemplo de registro DMARC. Ten en cuenta:
- etiquetas separadas por punto y coma (;)
- las etiquetas v y p deben aparecer primero; el resto puede ir en cualquier orden
- si usas la etiqueta rua (for reporting), añade el prefijo mailto: para que los servidores sepan a dónde enviar los informes DMARC
v=DMARC1; p=reject; rua=mailto:[email protected], mailto:[email protected]; pct=100; adkim=s; aspf=sLas etiquetas del registro DMARC se encuentran en this article.
Empieza con p=none
Recomendamos comenzar la implantación de DMARC con the p=none policy. This means you will receive reports without the risk of receiving servers sending your messages to spam or rejecting them.
En el siguiente paso podrás cambiar a una política where all unauthenticated messages are rejected.
Añadir DMARC al DNS de tu dominio
Una vez preparado el texto del registro DMARC, add or update the TXT DNS record at your domain registrar.
Inicia sesión en la consola de gestión de tu proveedor de dominio and follow the steps below.
Para mostrarte mejor dónde introducir qué, we used an example domain (tuempresa.com). Replace it with your own.
1. Ve a la página para actualizar los registros DNS to add or modify the current TXT DNS record.
2. En el primer campo introduce el nombre del registro TXT. Below the DNS Host Name text, enter: _dmarc.tuempresa.com
Nota: algunos proveedores añaden automáticamente the domain name after _dmarc. Verifica el nombre del registro TXT para DMARC to make sure it is correctly formatted.
3. En el segundo campo introduce el valor del registro TXT. Escribe el texto del registro DMARC. Un ejemplo podría verse así:
v=DMARC1; p=none; rua=mailto:[email protected]
IMPORTANTE: Los nombres de los campos pueden variar entre proveedores, so there may be slight differences in the names of TXT DNS record fields.
4. Guarda los cambios.
Recuerda: cada vez que cambies la política DMARC and update the record, also update the TXT DNS record at your domain registrar.
IMPORTANT: If you have more than one domain, prepare a separate DMARC record for each. If you do not, every subdomain will inherit the parent domain policies. Para definir políticas DMARC para subdominios, use the sp policy tag in the parent domain DMARC record.