Análisis de seguridad del correo: SPF, DKIM y DMARC

Qué revisa la comprobación

SPF enumera los servidores autorizados a enviar correo en nombre del dominio. DKIM permite a los receptores verificar una firma criptográfica en cada mensaje. DMARC vincula ambos con la dirección que se ve en la línea From e indica a los receptores qué hacer con el correo que falla: entregarlo, enviarlo a spam o rechazarlo.

La comprobación también revisa DNSSEC, que firma las respuestas DNS del dominio; CAA, que limita quién puede emitir certificados para él, y MTA-STS y los informes TLS, que protegen el correo en tránsito.

Cómo interpretar la nota

Cada registro suma puntos; la nota es el porcentaje de puntos obtenido. Un dominio sin DMARC, o con un SPF que permite cualquier servidor, no puede obtener una buena nota, porque cualquiera puede enviar correo que parezca proceder de él. DKIM solo se busca con nombres de selector habituales, así que una clave con un selector poco común puede aparecer como ausente.

Preguntas

¿La comprobación accede a mis servidores?

No. Solo lee registros DNS públicos, los mismos que lee cualquier servidor de correo del mundo cuando recibe sus mensajes.

Nuestro dominio no envía correo. ¿Necesitamos estos registros?

Sí. A los atacantes les gustan los dominios que no envían correo, porque nadie nota los mensajes falsificados. Publique SPF con -all y DMARC con p=reject para bloquearlos.

¿Basta con una nota alta?

Indica que la parte DNS de la seguridad del correo está en orden. No dice nada de sus servidores de correo, sus cuentas ni sus usuarios. Eso lo cubre una prueba de penetración.