Publicar un registro DMARC es un trabajo puntual. Monitorearlo es la parte que nunca termina, y es donde la mayoría de los dominios se desmoronan en silencio: una herramienta de marketing nueva empieza a enviar como tú, un proveedor cambia su configuración de firma, una edición del DNS elimina la dirección rua= y nadie lo nota durante meses. Esta guía trata de la rutina continua una vez que el registro está activo: qué vigilar, con qué frecuencia, quién debería encargarse, qué umbrales merecen una alerta y qué no pueden decirte los datos agregados.
La respuesta breve#
El monitoreo de DMARC consiste en recopilar los informes agregados diarios que los proveedores de buzones envían a tu dirección rua=, convertirlos en una vista por fuente y revisar esa vista con una periodicidad fija. Vigilas cuatro cosas: una fuente de envío nueva que no autorizaste, una fuente conocida cuya tasa de aprobación baja, una caída en el volumen de informes (a menudo una dirección rua= rota) y la deriva de la política en el propio registro. Una revisión semanal de diez minutos más una alerta para fallos repentinos cubre la mayoría de los dominios. Para leer un único archivo de informe, basta con el analizador de informes DMARC gratuito. Para seguir vigilando sin abrir XML, necesitas algo que reciba los informes por ti. Los datos siempre tienen uno o dos días de retraso y solo cubren a los proveedores que envían informes, así que trátalos como un detector de humo, no como una transmisión en vivo.
Leer informes frente a monitorearlos#
Cómo leer los informes DMARC explica qué hay dentro de un archivo XML: la IP de origen, el número de mensajes y los resultados de SPF y DKIM. Esa habilidad importa, pero responde una pregunta puntual: ¿qué vio este receptor en este día?
El monitoreo responde otras preguntas a lo largo del tiempo:
- ¿Una fuente que pasaba el mes pasado empezó a fallar esta semana?
- ¿Apareció una fuente que nunca había enviado como nosotros?
- ¿Cayó a la mitad el total de mensajes reportados?
- ¿Sigue siendo el registro el que publicamos?
No puedes responder eso desde una carpeta de adjuntos sin abrir. Un dominio con mucho tráfico recibe decenas de informes al día de distintos receptores, cada uno con su propia lista de IP. Alguien, o algo, tiene que fusionarlos en una tabla por dominio y comparar hoy con el pasado. Si todavía no has publicado un registro con los informes activados, empieza por cómo configurar DMARC y vuelve cuando lleguen los primeros informes, lo que suele tardar de 24 a 48 horas.
Qué vigilar, por orden de prioridad#
No todos los números merecen atención. Estas son las señales que han cambiado un resultado en dominios reales, más o menos de la más urgente a la menos.
| Señal | Qué suele significar | Primera acción |
|---|---|---|
| Fuente nueva con correo que falla | Una herramienta olvidada, un reenviador o alguien que suplanta tu dominio | Identifica la IP de envío, consulta la guía de remitentes desconocidos |
| Una fuente conocida cae por debajo de su tasa de aprobación normal | Un proveedor cambió su dominio de firma, se eliminó una clave DKIM o SPF ya no lo incluye | Revisa la configuración de autenticación actual del proveedor y tu DNS |
| El volumen total reportado cae bruscamente | La dirección rua= se rompió, o un remitente dejó de enviar | Comprueba el registro vigente, consulta informes que no llegan |
| Sube la proporción de fallos mientras las fuentes siguen siendo las mismas | Reenvíos o listas de correo, o un cambio en cómo evalúa un receptor | Compara por receptor y consulta fallos de alineación |
| El registro cambió | Alguien editó el DNS: política relajada, rua= eliminado, un segundo registro añadido | Compáralo con tu último registro correcto conocido |
Unas palabras sobre la segunda fila, porque es la que la gente interpreta mal. DMARC pasa cuando SPF o DKIM pasan y se alinean con el dominio visible del From. Una fuente puede fallar la alineación SPF todos los días y aun así mostrar un 100 % de aprobación DMARC porque DKIM la sostiene. Eso está bien hasta que la clave DKIM se rota o se elimina, y entonces la fuente se desploma. Cuando revises una fuente, mira ambas columnas, no solo el resultado combinado.
Una rutina semanal que lleva diez minutos#
La revisión diaria es excesiva para la mayoría de los equipos, y la mensual es demasiado lenta. Un repaso semanal es un punto medio razonable. Aquí tienes una rutina que puedes adaptar:
- Abre los últimos 7 días de cada dominio que posees, incluidos los dominios aparcados o que nunca envían correo.
- Ordena las fuentes por volumen. Confirma que las cinco primeras son las que esperas.
- Busca IP o nombres nuevos que no estaban en la lista de la semana pasada. Anota cada uno con la fecha en que lo viste por primera vez.
- Revisa cualquier fuente por debajo del 100 % de aprobación DMARC. Decide en cada caso: corregir, o aceptarla como ruido de reenvío.
- Compara el volumen total con el de la semana anterior. Una caída brusca merece mirar el registro antes que cualquier otra cosa.
- Anota la política (
p=ysp=) y confirma que es la que configuraste por última vez.
Mantén una hoja de inventario sencilla con una fila por fuente legítima: nombre del servicio, responsable dentro de tu empresa, qué correo envía y cómo se autentica (DKIM con dominio propio, include en SPF, o ambos). Los informes te dicen qué está enviando. Solo tu hoja te dice si debería hacerlo.
Source Owner Mail type Authenticates via
Google Workspace IT Staff mail DKIM d=example.com
Newsletter tool Marketing Campaigns DKIM d=example.com, include in SPF
Billing system Finance Invoices DKIM d=example.com
Quién debería encargarse#
El monitoreo de DMARC suele fallar porque no pertenece a nadie. El DNS lo lleva TI, las herramientas de envío dependen de marketing, producto, soporte y finanzas, y los informes llegan a un buzón compartido que una persona creó y luego se fue.
Elige un responsable con nombre por dominio y dale dos poderes: poder ver todos los informes y autoridad para preguntar a otros equipos qué es una fuente. Un remitente nuevo debería ser una solicitud que llegue a ese responsable antes del lanzamiento, no una sorpresa descubierta en un informe tres semanas después. Si tu empresa gestiona muchos dominios, asigna el responsable por dominio, no por empresa, porque las personas que saben qué herramientas envían como shop.example.com rara vez son las que conocen example.com.
Umbrales de alerta que valen la pena#
Las alertas deben ser lo bastante raras como para que la gente siga leyéndolas. Estos umbrales son consejos, no estándares, así que ajústalos a tu volumen:
- Cualquier fuente nueva que envíe correo que falla, una vez que supere un mínimo pequeño (por ejemplo, 5 mensajes fallidos en un día) para que un reenvío aislado no avise a nadie.
- Un total de fallos por encima de un nivel fijo en el día (por ejemplo, 10 mensajes) en dominios de volumen modesto. En dominios grandes usa un porcentaje del volumen.
- Una fuente conocida que cae por debajo de su tasa de aprobación habitual durante dos días seguidos, lo que filtra el ruido de un solo día.
- El volumen de informes cae a la mitad de una semana a otra.
De qué no alertar: un único receptor que reporta un número pequeño de fallos, oscilaciones de la tasa de aprobación de uno o dos puntos y todo lo que sea solo ruido de p=none mientras aún estás descubriendo remitentes.
Los informes DMARC de Qualisend cubren la versión básica de esto. Cada día revisa el día UTC anterior y te envía un correo cuando un dominio tiene 10 o más mensajes que fallaron tanto SPF como DKIM, o cuando una fuente que no había visto para ese dominio en los últimos 30 días envía 5 o más mensajes que fallan. No alerta sobre caídas de la tasa de aprobación que se queden por debajo de esas cifras, ni sobre cambios de política, ni sobre suplantaciones que ningún proveedor reportó, así que mantén también tu revisión semanal.
Límites de los datos agregados#
Los informes agregados son útiles e incompletos. Conoce sus bordes antes de fiarte de ellos para una decisión:
- Llegan con retraso. Los proveedores suelen enviarlos una vez al día, así que ves ayer o anteayer. No es una vista en tiempo real.
- Solo vienen de los receptores que los envían. Los grandes proveedores de buzones lo hacen. Muchos receptores más pequeños no. Tus cifras describen la porción que reporta, no todo tu correo.
- No incluyen contenido de los mensajes. Obtienes recuentos y resultados de autenticación por fuente, nunca asuntos ni destinatarios. Es deliberado y respetuoso con la privacidad, y también significa que no puedes ver exactamente qué mensaje falló.
- No pueden mostrar suplantaciones que nadie reportó. Si un receptor no envía informes, el correo suplantado hacia ese receptor es invisible para ti.
- Los informes forenses (de fallos) rara vez están disponibles. La etiqueta
ruf=pide informes de fallo por mensaje, pero muchos grandes proveedores no los envían, así que planifica contando solo con datos agregados. Los informes DMARC de Qualisend no reciben informes de fallos en absoluto. - El volumen por fuente es un recuento de mensajes, no de destinatarios. Una fuente con 3 mensajes y 3 fallos es un problema distinto de una con 30 000 mensajes y 3 fallos.
Nada de esto resta valor a los datos. Significa que un panel limpio dice "no hay nada mal en lo que se reportó", no "no hay nada mal".
Dónde encaja el monitoreo en el ciclo completo de seguridad#
El monitoreo de DMARC es una capa. El registro puede ser perfecto y aun así quedar deshecho por otro problema de DNS, como un registro SPF que supera el límite de consultas o una clave DKIM que se eliminó. La rutina más amplia se describe en la guía de monitoreo de salud del dominio, que cubre los registros de los que depende DMARC. Cuando tus informes están limpios y estables, el siguiente paso natural es endurecer la política, algo que cubre pasar de p=none a p=reject. Si estás evaluando herramientas para hacer la recopilación, cómo elegir una herramienta de monitoreo de DMARC expone los criterios y compara precios reales.
Para las reglas que hacen que todo esto importe en la práctica, consulta los requisitos de remitente de Google y Yahoo, y para una visión más amplia de por qué el correo autenticado aun así cae en spam, la guía de entregabilidad del correo.
Preguntas frecuentes
01¿Qué es el monitoreo de DMARC?
El monitoreo de DMARC es la práctica continua de recopilar los informes agregados que los proveedores de buzones envían a tu dirección rua, fusionarlos en una vista por fuente y revisar los cambios con el tiempo. Vigilas las fuentes de envío nuevas, las fuentes conocidas cuya tasa de aprobación baja, la caída del volumen de informes y las ediciones de tu registro. Es distinto de leer un archivo XML, que solo muestra un día de un único receptor.
02¿Con qué frecuencia debo revisar los informes DMARC?
Para la mayoría de los dominios basta una revisión semanal de unos diez minutos, apoyada en una alerta para fallos repentinos. La revisión diaria suele suponer más esfuerzo del que justifican los datos, porque los informes llegan una vez al día y con retraso. Revisa con más frecuencia mientras descubres remitentes o justo antes de endurecer tu política, y luego pasa al ritmo semanal.
03¿Pueden los informes DMARC mostrar suplantación en tiempo real?
No. Los proveedores suelen enviar los informes agregados una vez al día, así que ves ayer o anteayer. Solo se incluyen los receptores que envían informes, así que el correo suplantado hacia un receptor que no reporta es invisible. Trata los informes como un detector de humo de lo que se reportó y confía en una política reject para que el correo suplantado falle.
04¿Qué umbrales de alerta tienen sentido para DMARC?
Son consejos, no estándares. Alerta cuando una fuente nueva envíe correo que falla una vez superado un mínimo pequeño, como 5 mensajes fallidos al día, cuando el total diario de fallos llegue a un nivel como 10 mensajes en dominios de volumen modesto, cuando una fuente conocida esté por debajo de su tasa de aprobación habitual durante dos días y cuando el volumen de informes se reduzca a la mitad de una semana a otra. Evita alertar por pequeños picos de un solo receptor.
El monitoreo te dice quién envía como tu dominio; no puede decirte si la lista detrás de ese correo está sana. Empieza con el plan gratuito (precios) y gasta los 100 créditos en una lista real para ver su riesgo de rebote. Un dominio bien monitoreado sigue necesitando una lista limpia para ganarse la bandeja de entrada.
