Informes DMARC

Los proveedores de correo mandan un informe diario de lo que recibieron con tu dominio. MailSolid los lee por ti y te muestra quién envía como tú, qué falla y cuándo puedes endurecer la política.

MailSolid · Guía de usoRevisado para la versión 0.21.0

Quién puede hacerlo: todos los miembros ven los informes. Añadir o quitar dominios es del dueño y los administradores; cambiar la dirección de informes del espacio es solo del dueño. El número de dominios depende de tu plan, y si tu plan no incluye informes DMARC la consola lo dice.

Antes de empezar: necesitas poder editar el DNS del dominio, porque tendrás que publicar un registro. MailSolid te da el registro exacto, pero no lo publica por ti.

Qué son los informes DMARC

Proveedores como Google y Microsoft envían una vez al día un informe sobre el correo que recibieron con tu dominio: quién lo envió y si pasó SPF, DKIM y DMARC. MailSolid los recibe en una dirección propia de tu espacio y los muestra por dominio. Solo ves el correo que llegó a los buzones de esos proveedores.

Da de alta un dominio

Abre DMARC en la barra lateral.
En Añade un dominio, elige Mi DNS (TXT) para gestionar el registro en tu proveedor, o MailSolid (CNAME) para alojar la política y gestionarla desde la consola. Si el plan, el cupo o los permisos no permiten alojarla, verás el motivo.
Escribe el dominio o elige uno de los que el espacio ya conoce (De este espacio:) y pulsa Añadir dominio.
Con TXT aparece Publica este registro para y el registro que debes copiar. Con CNAME se abre el asistente de alojamiento: revisa tu registro actual, prepara la política y sigue las instrucciones para publicar el CNAME en tu DNS. Elegir CNAME no publica la política automáticamente ni modifica tu DNS.

El contador N de M dominios muestra cuántos lleva el espacio de los que permite el plan. Si está lleno, quita uno para añadir otro.

Publica el registro

Los informes solo llegan si el registro DMARC del dominio dice a dónde enviarlos. Eso lo indica la etiqueta rua. MailSolid lee tu DNS público y te propone:

Si el dominio ya tiene un registro DMARC: el mismo registro con nuestra dirección en el rua. Tu política y las demás etiquetas no cambian.
Si no tiene ninguno: un registro nuevo que solo observa (p=none): no cambia cómo se entrega tu correo, y empiezan a llegar los informes.

Si el rua ya tiene direcciones tuyas, eliges qué hacer:

Añadir nuestra dirección: tus direcciones actuales siguen recibiendo informes.
Sustituir las direcciones actuales: queda solo la nuestra. Antes de decidir, la consola te muestra qué direcciones dejarán de recibir informes.

Si el rua ya tiene dos o más direcciones, ten en cuenta que algunos receptores solo envían informes a las dos primeras: pon la nuestra entre ellas (o quita una que ya no uses).

Después:

Copia el registro con el botón de copiar (usa el nombre corto si tu panel añade el dominio por su cuenta) y publícalo en tu proveedor de DNS.
Pulsa Comprobar el registro. MailSolid lee el DNS público y te dice si ya apunta a nosotros. Si acabas de cambiarlo, el DNS puede tardar unos minutos (a veces una hora): vuelve a comprobar.
Cuando diga Verificado, espera: los proveedores envían los informes una vez al día y el primero suele tardar de 24 a 48 horas.

Hay casos en los que MailSolid no propone un registro y te explica por qué: un subdominio que hereda el registro del dominio principal (añade nuestra dirección allí, o publica un registro propio para el subdominio), un registro delegado a otro servicio mediante CNAME, más de un registro DMARC (los receptores ignoran todos) o un registro no válido. Si no se pudo leer el DNS, nada está mal en tu dominio por eso: vuelve a comprobar en unos minutos.

Estados de un dominio

Estado	Qué significa
Esperando el registro	Todavía no se publicó el registro que nos manda los informes.
Verificado, esperando informes	El registro apunta a nosotros y aún no llegó ningún informe.
Recibiendo informes	Llegan informes.
Sin informes en 3 días	Dejaron de llegar. Comprueba que el registro sigue enviándonos los informes.
En pausa por el plan	Tu plan no cubre este dominio ahora mismo; los informes nuevos se descartan hasta que quites otro dominio.

Lee el resultado de un dominio

Al abrir un dominio ves, de arriba abajo:

El veredicto y la política actual. Dice, por ejemplo, Todo tu correo legítimo pasa DMARC, o qué fuente falla y cuántos mensajes en el periodo. Con 7 días, 30 días o 90 días cambias el periodo. Solo cuentan los informes de reporteros de confianza; si solo hay de otros, el veredicto espera.
Una gráfica diaria de mensajes que pasaron, fallaron y se reenviaron.
Avisos recientes del dominio (últimos 30 días).
El registro DMARC, mientras todavía no llegan informes (o si dejaron de llegar).
Fuentes: quién envió correo con tu dominio, agrupado por organización.
Consejero de política.
DKIM y SPF.
Reporteros e Informes recibidos.

Fuentes

Cada fuente tiene un estado:

Estado	Qué significa
Autorizada	Pasa DMARC.
Revisar	Es correo legítimo que falla, porque ni DKIM ni SPF pasan alineados con tu dominio. Configura DKIM para tu dominio en ese servicio (o añádelo a tu SPF) antes de endurecer la política.
Desconocida	Alguien envía como tú y no lo reconocemos: probablemente suplantación (o un reenvío). Una política más estricta la detiene.

Puedes filtrar la tabla por Todos, Fallan y Reenviados, y ver las IP de cada fuente (con botón de copiar).

Reenvíos. El correo reenviado (listas, redirecciones) puede fallar DMARC sin ser un problema tuyo. Cuando el receptor lo indica, MailSolid lo cuenta aparte, como reenviado, y no lo trata como una fuente que falla ni lo usa en los avisos ni en el consejo. Con ¿Cómo lo sabemos? ves los límites: un informe agregado no siempre dice por qué no se aplicó tu política, así que algún reenvío puede aparecer entre las fuentes desconocidas.

Consejero de política

Mira los informes de reporteros de confianza de los últimos 14 días y te dice qué hacer con tu política:

Puedes pasar a p=quarantine / p=reject (o aplicarla a todo tu correo, quitando pct) cuando todo tu correo legítimo pasa DMARC. Te da el valor nuevo del registro para copiar.
No subas la política todavía si una fuente legítima falla: te dice cuál y cuántos mensajes se verían afectados. Arréglala primero.
Faltan unos días más de informes si todavía no hay suficientes para aconsejarte.
Tu política ya está en lo más estricto si ya estás en p=reject para todo tu correo.

Para publicar el cambio, el botón Abrir el arreglo de DMARC en Salud te lleva a la tarjeta con el registro.

DKIM y SPF

DKIM lista los selectores que firmaron tu correo en los últimos 30 días, su alineación, cuántos mensajes y el estado de cada clave en el DNS (Bien, Mejorable, Débil, Falta, Revocada, Clave ilegible). Se recomienda 2048 bits. Las claves se leen una vez al día; una que no se pudo leer no se cuenta como rota.
SPF compara quién envía como tu dominio con lo que autoriza tu registro SPF: te muestra los remitentes que el SPF no cubre y qué añadir (siempre IP exactas, nunca rangos), y cada término del registro (Autoriza envíos, Redundante, Sin envíos: candidato a quitar). También avisa si el registro se acerca o pasa del límite de 10 consultas DNS. MailSolid nunca cambia tu DNS.

Reporteros e informes

Reporteros lista los proveedores que enviaron informes. Los De confianza (Google, Microsoft y otros) son los únicos que cuentan para el veredicto, la política y los avisos, para que un informe falso no los altere. Informes recibidos lista cada informe con su fecha y sus mensajes.

Si algún informe no se guardó, Informes descartados explica el motivo (por ejemplo, el registro ya no nos manda los informes, el dominio no está dado de alta en este espacio, llegó a una dirección antigua, el archivo no se pudo leer o el remitente no pudo demostrar que es quien dice ser). Si la consola avisa de informes de dominios que no están dados de alta aquí, añádelos si son tuyos.

La dirección de informes del espacio

Todos los dominios del espacio comparten una sola dirección, que aparece abajo en Dirección de informes de este espacio, con un botón para copiarla. Es la que va en el rua de cada registro.

Solo el dueño puede cambiarla, y conviene hacerlo únicamente si alguien te está mandando informes falsos:

Pulsa Cambiar la dirección y escribe el nombre del espacio para confirmar.
La dirección anterior sigue funcionando 7 días. En ese plazo, cambia el rua de todos tus dominios por la nueva; después, los informes enviados a la anterior se descartan.
Si vuelves a cambiarla durante esos 7 días, la dirección más antigua deja de funcionar enseguida y los informes enviados a ella se descartan.

Hay un máximo de cambios: al llegar a él, la consola lo dice y ya no ofrece cambiarla.

Quitar un dominio

En el dominio, Quitar dominio borra ya sus informes, fuentes e historial. Quita también nuestra dirección de su registro DMARC; si no, los informes siguientes se descartan. Para quitarlo también de la vigilancia y los diagnósticos, usa Quitar de este espacio en su ficha de Dominios.

Avisos DMARC

Si hay un problema, MailSolid avisa en la consola, por correo y en tus integraciones. Los tipos son: fuente nueva que falla, fuente que empieza a fallar, posible suplantación, informes que dejan de llegar, firma DKIM que empieza a fallar, clave DKIM débil y registro SPF con errores. Solo cuentan informes de reporteros de confianza. Mira Avisos e integraciones.

Si algo falla

«El registro todavía no incluye nuestra dirección»: o aún no lo publicaste, o el DNS no se actualizó. Espera unos minutos y vuelve a comprobar.
«Sin informes en 3 días»: comprueba que el registro sigue enviándonos los informes y que no se cambió.
No llega nada: los proveedores envían un informe al día; el primero tarda de 24 a 48 horas. Solo se informa de lo que recibieron ellos.
«Tu plan permite N dominios en los informes DMARC»: quita un dominio para añadir otro, o revisa tu Plan.
Veo informes pero el veredicto dice «Aún no hay informes de reporteros de confianza»: el veredicto, el consejo y los avisos esperan a informes de Google, Microsoft y otros reporteros de confianza; mientras tanto, la gráfica y las fuentes muestran todo.

Guías relacionadas

Ficha y transporte del dominio (0.20)

En Dominios, abre la ficha para ver el resumen y el último cambio. Puedes vigilarlo desde allí y abrir DNS y diagnóstico para conservar todo el informe, sus comprobaciones y herramientas. Las pestañas de DMARC, MTA-STS y TLS llevan al dominio seleccionado. También hay accesos propios a MTA-STS y recepción TLS en Protección. Si la infraestructura está pendiente, la consola lo indica: preparar una política no publica DNS ni certificados.

Configurar la recepción de informes TLS

TLS-RPT informa sobre fallos de cifrado que observaron los proveedores remitentes. No envíes un correo de prueba a la dirección que aparece: publícala en DNS.

Abre el dominio en Recepción de informes TLS. Si la recepción no está habilitada, espera a que se habilite; no inventes una dirección.
En tu panel DNS, crea un TXT con el Nombre y el Valor exactos que muestra Configurar informes TLS. Algunos paneles añaden el dominio y solo necesitan _smtp._tls como nombre.
Si ya tienes TLSRPTv1, conserva los otros destinatarios: añade esta dirección a la lista rua separada por comas. Usa un único registro de política.
Guarda el cambio y pulsa Verificar registro DNS. Esa comprobación solo lee DNS; no cambia registros ni demuestra que ya hayan llegado informes.
Espera los informes: los proveedores suelen tardar entre24 y48horas. Si no llega ninguno, el estado de las entregas sigue siendo desconocido. Un error de consulta tampoco se presenta como un DNS correcto.

Los cambios MTA-STS siguen reservados al dueño del espacio. No se pide un segundo factor repetidamente para trabajar en el espacio; los factores de inicio de sesión y la seguridad de la cuenta siguen funcionando.

Configurar MTA-STS alojado

MTA-STS permite a los remitentes comprobar la entrega cifrada hacia tus servidores de correo. MailSolid aloja el archivo de política; tú publicas los registros en el proveedor DNS de tu dominio. No cambia tu proveedor de correo ni tus registros MX.

Como dueño, abre el dominio en MTA-STS alojado. Necesitas capacidad de DMARC alojado en el plan y la dirección de informes del dominio verificada en DNS. Si el servicio no está habilitado, la consola lo indica y no permite preparar.
Pulsa Preparar MTA-STS alojado. Se comprueban los MX y la política existente. Una nueva empieza en testing; una existente se importa sin rebajar su protección. Si ya exige enforce, puede necesitar que el operador prevalide su certificado. No cambies aún su DNS.
Cuando aparezca la tabla, copia sus tres CNAME en tu proveedor DNS: mta-sts sirve la política HTTPS, _mta-sts anuncia su versión y _smtp._tls dirige los informes TLS. Usa los nombres y destinos exactos mostrados. Algunos paneles añaden el dominio automáticamente. Un CNAME no puede compartir nombre con un TXT: revisa la política y los destinatarios TLS existentes antes de sustituirlos.
Guarda los registros y pulsa Comprobar configuración. Se verifican los CNAME, los MX cubiertos, el archivo HTTPS y el certificado. Preparar por sí solo no significa que el alojamiento esté verificado. Espera a que se propaguen los DNS si falta algún registro.

El archivo se sirve en https://mta-sts.tu-dominio/.well-known/mta-sts.txt: MailSolid lo aloja y no debes copiar su contenido como TXT ni subirlo a tu sitio web. Ver el archivo de política alojado permite revisarlo.

testing no exige a los remitentes bloquear entregas por esa política. enforce exige cifrado válido hacia los servidores incluidos y puede impedir entregas si están mal configurados. No endurezcas una política sin revisar su cobertura y los informes. Los informes necesitan además TLS-RPT configurado.

Si preparar falla, sigue el motivo mostrado: plan, propiedad DMARC, MX, DNS o certificado. Ante un resultado desconocido pulsa Actualizar estado antes de repetir el cambio: consulta lo guardado sin volver a preparar. Conserva la protección vigente; un fallo parcial no demuestra que no se haya publicado nada.