La implementación de DMARC (Domain-based Message Authentication, Reporting & Conformance) no es solo una cuestión técnica: requiere gestión de personas, procesos y comunicación con terceros, según experiencias compartidas por especialistas de ams OSRAM y dmarcian.
Qué cambió: DMARC como proyecto organizativo
Los relatores subrayan que pasar de políticas permisivas de DMARC (p=none o p=quarantine) a políticas de rechazo (p=reject) implica más que activar registros DNS. Es necesario identificar todos los servicios y socios que envían correo en nombre del dominio, coordinar equipos internos (seguridad, TI, marketing, soporte y legal) y comunicar con proveedores y plataformas externas para evitar interrupciones.
Quiénes resultan afectados y por qué
DMARC afecta a cualquier remitente autorizado que utilice el dominio de la organización: plataformas de marketing por correo, sistemas de facturación y notificaciones, proveedores de outsourcing de correo, gestores de listas y herramientas de análisis. Si esos remitentes no están alineados técnicamente con SPF y DKIM, o no figuran en la política del dominio, los mensajes legítimos pueden empezar a ser bloqueados cuando se aplique p=reject.
Lecciones prácticas para administradores y propietarios de web
- Inventario exhaustivo: haga un mapa de todas las fuentes que envían correo con su dominio. Incluya servicios puntuales y subdominios.
- Validación progresiva: comience en modo monitor (p=none) y analice los informes DMARC (rua/ruf) para detectar fallos de SPF/DKIM antes de endurecer la política.
- Comunicación con terceros: notifique a proveedores y plataformas con antelación y coordine pruebas de entregabilidad.
- Pruebas internas: verifique que SPF incluye todos los IPs autorizados y que DKIM firma correctamente los mensajes esenciales.
- Plan de reversión: prepare un procedimiento rápido para relajar la política si aparecen problemas críticos tras el cambio.
Qué deben hacer los administradores ahora
Antes de establecer p=reject, los administradores deben auditar remitentes, asegurar consignas técnicas básicas —SPF que cubra las fuentes, DKIM con claves rotadas según la política de la organización— y revisar informes DMARC para identificar rechazos y fuentes no autorizadas. También conviene crear un canal de comunicación entre departamentos y con proveedores para resolver incidencias sin afectar el servicio al usuario.
Explicación de términos clave
- DMARC: política que indica cómo deben tratar los correos que no pasan SPF y DKIM según el dominio del remitente.
- SPF: lista de servidores autorizados a enviar correo en nombre del dominio; verifica la IP del remitente.
- DKIM: firma criptográfica añadida al correo que permite al receptor comprobar que el mensaje no fue alterado y que procede del dominio que lo firma.
- p=none/p=quarantine/p=reject: niveles de política DMARC: monitor, poner en cuarentena o rechazar mensajes que fallan la validación.
La experiencia de ams OSRAM y dmarcian muestra que el éxito de DMARC depende tanto de la preparación técnica como de la coordinación humana. Para organizaciones con múltiples plataformas y proveedores, dedicar tiempo al inventario, la verificación y la comunicación reduce el riesgo de interrupciones cuando se adopta una política de rechazo.
Lee también:
- Cómo añadir registros DKIM, SPF y DMARC en Squarespace para mejorar la entrega de correo
- Ronda de nuevos gTLDs de ICANN recibe 16 solicitudes para África; 10 vinculadas a un grupo empresarial chino
Fuente: Security Boulevard
