Ir al contenido

Tu política DMARC es «none»: cualquiera puede enviar correo en tu nombre

Aviso Todo el dominio Entrega de emails

Instrucciones generales. Abre este artículo desde tu informe de PageCheck para verlo completado con los registros de tu dominio y los pasos exactos de tu proveedor de DNS.

Qué es

DMARC es un registro TXT en _dmarc.example.com. Indica a los servidores de correo receptores qué hacer con el correo que dice venir de tu dominio pero no supera SPF ni DKIM.

Qué falla

La política es p=none, que solo recopila informes. El correo falsificado en nombre de tu dominio se sigue entregando.

Cómo arreglarlo

1. Asegúrate de que todos los servicios que envían tu correo lo firman con DKIM. El correo que solo supera SPF no supera DMARC cuando se reenvía.

  • Google Workspace: admin.google.com → Apps → Google Workspace → Gmail → Authenticate email.
  • Microsoft 365: security.microsoft.com → Email authentication settings → DKIM.
  • Otros servicios (newsletter, tienda, facturación): sus ajustes de autenticación del dominio o DKIM.

2. Espera 3 días y luego revisa los informes. Los informes llegan a la dirección de la etiqueta rua= del registro; un servicio de informes DMARC los hace más fáciles de leer. En los días transcurridos desde los pasos anteriores, todos los servicios que envían tu correo deben superar DMARC. Si alguno falla, corrige primero ese remitente y no cambies todavía la política.

3. Cambia la política. Sustituye p=none por p=quarantine y deja el resto del registro como está.

  1. Abre los registros DNS de tu dominio donde se gestiona su DNS: normalmente el registrador del dominio, el proveedor de hosting o Cloudflare.
  2. Edita el registro TXT llamado _dmarc y cambia su valor a: el mismo registro con p=none sustituido por p=quarantine
  3. Guarda. La mayoría de los proveedores de DNS lo aplican en menos de una hora.

Más adelante 4. Tras 4 semanas sin fallos de tu propio correo en los informes, cambia p=quarantine por p=reject de la misma forma. 

Enforce DMARC for example.com (found by PageCheck: the policy is p=none, so forged mail is still delivered).

Steps:
1. List everything that sends mail as @example.com, including SMTP / mail API settings in this codebase. For each, say whether it can pass SPF or DKIM aligned with example.com.
2. Make sure each sender signs with DKIM for example.com; tell me where to turn it on and which DNS records to add.
3. Stop here and tell me to come back in 3 days: DKIM needs up to 48 hours to start, and the reports need a few days of data.
4. Check with me in the DMARC reports that every sender from step 1 passes. If one fails, fix it and do not change the policy.
5. Only then change the TXT record _dmarc.example.com from p=none to p=quarantine, keeping the rest. Tell me the exact steps for my DNS host, or do it through its API if you have access.
6. Verify the record with a DNS-over-HTTPS query and report what changed.
Do not set p=reject.

Revisa tu sitio para ver si tiene este problema. Revisar un sitio web