Qué cambia: Microsoft ha actualizado su tratamiento del correo entrante y ahora puede rechazar mensajes que aparenten provenir de dominios que no tienen una política DMARC publicada. DMARC (Domain-based Message Authentication, Reporting & Conformance) es un mecanismo que permite a los propietarios de dominios indicar a los receptores cómo deben tratar los mensajes que fallan las comprobaciones de autenticación SPF y/o DKIM.
A quién afecta: El cambio afecta a cualquier remitente que envíe correo a cuentas gestionadas por Microsoft (Outlook.com, Microsoft 365/Office 365 y Exchange Online) y que use un dominio sin política DMARC. Esto incluye a empresas que envían boletines, plataformas de correo transaccional, proveedores que envían avisos administrativos y a desarrolladores que configuran notificaciones automáticas desde sus servicios.
Por qué Microsoft aplica el rechazo
La medida responde a la amplia adopción de DMARC como estándar para mitigar el phishing y el spoofing: al exigir o preferir que los dominios publiquen una política DMARC, los proveedores de correo dificultan que atacantes falsifiquen remitentes legítimos. Microsoft ya realizaba comprobaciones de SPF y DKIM; con esta política añade un umbral más estricto sobre la presencia de una política DMARC en el DNS del dominio remitente.
Qué deben hacer los administradores y dueños de sitios web
- Comprobar si su dominio tiene DMARC: revisen los registros DNS para ver si existe un registro TXT con la política DMARC (prefijo _dmarc). Si no está, deben publicarlo.
- Configurar SPF y DKIM: antes de aplicar una política DMARC de rechazo (p=reject), aseguren que SPF y/o DKIM están correctamente configurados para todos los orígenes legítimos de correo (servidores propios, plataformas de envío y servicios externos).
- Empezar con una política de supervisión: es recomendable publicar primero una política DMARC en modo p=none y habilitar los informes (rua/ruf) para identificar fuentes que envían correo en nombre del dominio sin autorización.
- Aumentar progresivamente la restricción: una vez verificado que SPF/DKIM cubren todos los emisores legítimos, migrar a p=quarantine y finalmente a p=reject si se desea bloquear los correos no autenticados.
- Coordinar con proveedores de envío: notificar a servicios de newsletter, CRM y plataformas de correo transaccional para que firmen DKIM con claves autorizadas o para que estén incluidos en el SPF del dominio.
Impacto práctico y riesgos
Si un dominio no publica DMARC, los mensajes pueden ser rechazados por Microsoft y no llegar al buzón del destinatario. Esto puede provocar pérdida de comunicaciones críticas (facturas, notificaciones de seguridad, confirmaciones de compra) o degradación en la entregabilidad de campañas legítimas. Por otro lado, implementar DMARC correctamente mejora la protección del dominio frente al spoofing y puede incrementar la reputación del remitente.
Terminología breve
- SPF (Sender Policy Framework): registro DNS que lista servidores autorizados para enviar correo desde un dominio.
- DKIM (DomainKeys Identified Mail): firma criptográfica incluida en los mensajes que permite verificar que el contenido no fue alterado y que proviene de una clave asociada al dominio.
- DMARC: política publicada en DNS que indica al receptor qué hacer cuando SPF y DKIM fallan y solicita informes al propietario del dominio.
Qué hacer ahora: los administradores de correo deben comprobar y, si procede, publicar una política DMARC y revisar sus configuraciones SPF/DKIM para evitar rechazos por parte de Microsoft. Empezar en modo de supervisión y analizar los informes ayuda a desplegar DMARC sin interrupciones de servicio.
Lee también:
- Outlook.com empieza a rechazar correos de dominios sin registro DMARC
- Autoridad de Qatar actualiza las políticas del registro de dominios para reforzar la seguridad y la confianza digital
Fuente: Security Boulevard
