SPF, DKIM y DMARC leídos como inteligencia

SPF (RFC 7208) responde si la IP que entregó el mensaje está autorizada por el dominio del sobre; sus resultados son pass, fail, softfail, neutral, none, temperror y permerror. DKIM responde si la firma del dominio que aparece en d= es válida. Ninguno de los dos mira el From que ve la persona.

DMARC une las piezas: pide que SPF o DKIM pasen y que el dominio que pasó coincida con el del From, lo que se llama alineación (relajada si comparten el dominio organizativo, estricta si son idénticos). La especificación vigente es la RFC 9989, de mayo de 2026, que reemplazó a la RFC 7489 y mantiene las políticas p=none, quarantine y reject.

Ejecuta SELECT * FROM mensajes_reportados. Hay un mensaje con spf=pass y dkim=pass y, aun así, dmarc=fail. No es un error del servidor: SPF pasó para el dominio del sobre y DKIM firmó con otro dominio, y ninguno de los dos es el del From. Es el caso típico de un servicio legítimo mal configurado, y es justo lo que impide subir la política de la casa sin romper el correo propio.

Ejecuta SELECT * FROM informe_agregado y SELECT * FROM servicios_autorizados. El informe agregado lo envían los receptores que generan informes DMARC (no todos lo hacen) a la dirección del rua= del registro: cuenta cuántos mensajes con el From de la casa vieron, desde qué IP y con qué resultado. Para inteligencia es una fuente que no se consigue de otra forma: muestra la suplantación del dominio propio aunque nunca llegue a un buzón de la casa.

Cruza cada IP con fallos contra la lista de servicios autorizados. Lo que falla y no es de nadie es alguien usando el nombre de la casa.

Ejecuta SELECT * FROM registros_dns. La casa publica p=none: pide a los receptores que informen, no que rechacen. La tentación después del susto es pasar a p=reject esta misma tarde. Antes hay que saber a quién dejaría fuera: todo mensaje que hoy falla DMARC sería rechazado, y entre ellos hay servicios que la casa contrató.

El informe agregado de la casa solo cuenta mensajes cuyo From lleva el dominio exacto de la casa. El correo de la sala anterior usaba un dominio parecido al del proveedor, con sus propios registros SPF y DMARC, y pasó todo. Para ese tipo de engaño hacen falta otras fuentes: vigilar el registro de dominios parecidos, los reportes de los empleados y los avisos de los proveedores.