Pocas pymes conocen DMARC por curiosidad. Lo normal es conocerlo por requisito: un cliente grande env\u00eda su cuestionario de homologaci\u00f3n de proveedores y, entre las preguntas de seguros y certificaciones, aparece la casilla \u00ab\u00bfDispone su dominio de pol\u00edtica DMARC?\u00bb. O lo menciona el banco. O un pedido importante queda condicionado a responder que s\u00ed.<\/p>\n
La sigla no ha llegado a tu mesa por moda. Ha llegado porque tu correo se ha convertido en parte de la seguridad de tus clientes, y ellos han empezado a comprobarlo. Este art\u00edculo explica qu\u00e9 es, qu\u00e9 hace exactamente y por qu\u00e9 quienes m\u00e1s tienen que perder llevan a\u00f1os exigi\u00e9ndolo.<\/p>\n
DMARC es una instrucci\u00f3n p\u00fablica que tu dominio da a todos los servidores de correo del mundo: qu\u00e9 hacer con los mensajes que digan venir de ti y no puedan demostrarlo.<\/p>\n
No es un programa. No se instala en tus ordenadores ni se compra por licencias. Es una declaraci\u00f3n que se publica junto a tu dominio, donde cualquier servidor puede consultarla. Cuando Gmail, Outlook o el servidor de tu cliente reciben un correo con tu nombre, leen esa declaraci\u00f3n y la obedecen.<\/p>\n
Si tu dominio no la tiene publicada, la instrucci\u00f3n que recibe el mundo es \u00abcada cual decida por su cuenta\u00bb. Y cada cual decide.<\/p>\n
DMARC no trabaja solo. Se apoya en dos comprobaciones previas que conviene distinguir, porque cada una tiene su papel:<\/p>\n
Ese \u00faltimo matiz importa m\u00e1s de lo que parece. Sin \u00e9l, un mensaje puede superar comprobaciones t\u00e9cnicas en nombre de un dominio mientras muestra el tuyo en el remite visible. DMARC existe precisamente para cerrar esa rendija: lo que se verifica y lo que el destinatario ve tienen que coincidir.<\/p>\n
La pol\u00edtica DMARC admite tres instrucciones, de menor a mayor firmeza:<\/p>\n
Y aqu\u00ed, el dato inc\u00f3modo: una parte enorme de los dominios que \u00abtienen DMARC\u00bb est\u00e1n en el primer nivel. La pol\u00edtica existe, el cuestionario se puede responder que s\u00ed, y los correos fraudulentos se entregan igual, porque la instrucci\u00f3n publicada es, literalmente, \u00abno hagas nada\u00bb. Es un portero con la consigna de apuntar a los intrusos en una libreta mientras pasan.<\/p>\n
El nivel de observaci\u00f3n tiene una funci\u00f3n leg\u00edtima e importante \u2014es la fase de diagn\u00f3stico, como veremos\u2014, pero como destino final no protege nada. Tener la sigla no es estar protegido. La diferencia est\u00e1 en una sola palabra de la pol\u00edtica, y casi nadie la mira.<\/p>\n
Porque el fraude ya no ataca a la fortaleza: ataca a quien le lleva los tornillos.<\/p>\n
La estafa de la factura con cuenta cambiada \u2014la misma que vimos al hablar de la suplantaci\u00f3n de dominio<\/a>\u2014 rara vez suplanta al banco, que tiene sus defensas afinadas. Suplanta al proveedor peque\u00f1o: la asesor\u00eda, el taller, el suministrador habitual. Su dominio no est\u00e1 protegido, imitarlo es trivial y sus correos ya cuentan con la confianza del destinatario. El eslab\u00f3n d\u00e9bil de la cadena de pagos no est\u00e1 en la entidad: est\u00e1 en su agenda de proveedores.<\/p>\n Las grandes organizaciones lo saben, y han sacado la conclusi\u00f3n l\u00f3gica: la identidad de correo de sus proveedores forma parte de su propio per\u00edmetro de seguridad. De ah\u00ed los cuestionarios de homologaci\u00f3n, y de ah\u00ed que la exigencia se est\u00e9 extendiendo en cascada.<\/p>\n El contexto general apunta en la misma direcci\u00f3n. Administraciones p\u00fablicas de varios pa\u00edses exigen por norma esta pol\u00edtica a sus organismos desde hace a\u00f1os. Los principales proveedores de correo del mundo la exigen desde 2024 a quien les env\u00eda mensajes en gran volumen. Y en los est\u00e1ndares de cumplimiento de sectores regulados ya aparece de forma expresa. Lo que durante a\u00f1os fue una buena pr\u00e1ctica de especialistas se est\u00e1 convirtiendo en condici\u00f3n para operar.<\/p>\n Conviene decirlo con la misma claridad que todo lo anterior: DMARC protege tu dominio exacto. No protege los parecidos.<\/p>\n Si un estafador registra un dominio que se diferencia del tuyo en una letra, o le a\u00f1ade un guion, est\u00e1 enviando desde un dominio que existe y que es suyo. Tus pol\u00edticas no le alcanzan, porque no est\u00e1 suplantando tu dominio: est\u00e1 usando otro que se le parece. Ese frente se combate por otras v\u00edas \u2014vigilancia de registros similares, formaci\u00f3n de quien recibe pagos\u2014, y quien te venda DMARC como protecci\u00f3n total contra el fraude por correo te est\u00e1 vendiendo m\u00e1s de lo que la herramienta da.<\/p>\n Lo que s\u00ed cierra DMARC es la v\u00eda m\u00e1s directa y m\u00e1s usada: el correo que dice ser exactamente t\u00fa. Con la pol\u00edtica en rechazo, ese mensaje no llega a tu cliente. Muere en la puerta.<\/p>\n La tentaci\u00f3n es evidente: si el rechazo es el nivel que protege, publicar el rechazo hoy y asunto resuelto. Esa prisa es la forma m\u00e1s r\u00e1pida de estropearlo.<\/p>\n En casi toda empresa hay m\u00e1s remitentes leg\u00edtimos de los que nadie recuerda: la herramienta de facturaci\u00f3n, la plataforma de campa\u00f1as, el formulario de la web, el programa de gesti\u00f3n. Si alguno no est\u00e1 correctamente autorizado y la pol\u00edtica pasa a rechazo, sus correos \u2014leg\u00edtimos, tuyos\u2014 dejan de entregarse. El arreglo mal hecho reproduce el problema de los correos que no llegan<\/a>, ahora por orden tuya.<\/p>\n Por eso el camino serio es por fases. Primero, observar: publicar la pol\u00edtica en su nivel de diagn\u00f3stico y leer los informes que los servidores del mundo env\u00edan sobre qui\u00e9n est\u00e1 usando tu nombre, con qu\u00e9 resultado. Despu\u00e9s, autorizar lo que falte y corregir lo que falle. Solo entonces, endurecer la pol\u00edtica, y comprobar que nada leg\u00edtimo se queda fuera. Son semanas de proceso medido, no una tarde de configuraci\u00f3n. Y los informes, dicho sea de paso, siguen llegando despu\u00e9s: leerlos de vez en cuando es la diferencia entre estar protegido y creerlo.<\/p>\n DMARC est\u00e1 recorriendo el mismo camino que recorri\u00f3 el candado de las webs seguras: primero cosa de bancos, despu\u00e9s recomendaci\u00f3n, hoy requisito que otros marcan por ti. Nada de esto existe, por cierto, sin un dominio propio sobre el que configurarlo<\/a>.<\/p>\nLo que DMARC no hace<\/h2>\n
C\u00f3mo se hace bien (y c\u00f3mo se estropea)<\/h2>\n
De opcional a casilla<\/h2>\n