Comprobador DMARC
La mayoría de los dominios con un registro DMARC lo tienen configurado para no hacer nada. El registro existe, el cuestionario se marca y cualquiera aún puede enviar correos electrónicos convincentes como el dominio. Verifique un dominio que controle y obtenga el registro completo y la política que realmente establece.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Qué hace DMARC que SPF y DKIM no hacen
SPF dice qué servidores pueden enviar para su dominio. DKIM firma un mensaje para que el destinatario pueda saber que no fue modificado. Ninguno de los dos dice qué hacer cuando falla la verificación - y se quedan solos, la mayoríalos receptores entregan el mensaje de todos modos.
DMARC es la instrucción. Es un registro TXT en _dmarc.yourdomain.com que le dice al servidor receptor tres cosas: qué hacer con el correo que falla, dónde enviar informes al respecto y cómo hacer coincidir estrictamente el dominio que ve el lector con el dominio que se verificó.
Seis razones para comprobar tu propio DMARC
01
La política que significa "nota esto y no hagas nada"
Un registro DMARC tiene una configuración queimporta más que todos los demás:
| Política | Qué hace el destinatario con el correo fallido |
|---|---|
p=none | Lo entrega. Te envía un informe y nada más |
p=quarantine | Lo pone en spam |
p=reject | Lo rechaza rotundamente |
p=none es el lugar correcto para comenzar y el lugar equivocado para quedarse. Existe para que pueda observar durante algunas semanas y encontrar los remitentes legítimos que olvidó, antes de activar la aplicación de la ley.
Muchos dominios han estado en p=none durante años, porque nada los obligó a dar el siguiente paso yel registro parece presente en cualquier lista de verificación que solo pregunte si existe DMARC.
02
Por qué no puedes simplemente pasar a reject
Porque detendrá tu propio correo.
Cada organización envía desde más lugares de los que recuerda: un sistema de emisión de tickets, una herramienta de facturación, una plataforma de boletines, un servidor que envía alertas por correo, un formulario en un sitio creado hace tres años. En p=reject, cada uno de los que no está autorizado deja de entregarse, y elLas personas que se dan cuenta primero son sus clientes.
Las tres etapas existen para recorrerlas, no para elegirlas. Comience en none, lea lo que muestran los informes, autorice lo que es legítimo, luego pase a quarantine y luego a reject.
03
Los informes que nadie lee
Un registro DMARC puede nombrar dos direcciones de informe:
rua: informes agregados. Resúmenes XML diarios de los proveedores receptores: cuánto correo afirma ser suyo, cuánto pasó y desde dónde
-ruf: informes de errores. Detalles por mensaje, enviados por muchos menos proveedores y pueden contener partes de mensajes reales.
Los informes agregados son el objetivo central de p=none y una persona no puede leerlos: llegan como XML comprimido desde docenas de proveedores. Sin algo para recopilarlos y presentarlos, la etapa de la que se supone que debes aprender no te enseña nada y el dominio permanece en none para siempre.
Un registro sin dirección rua es un registro que no puede hacer su trabajo.
04
Alineación y por qué el correo puede pasar SPF y aun así fallar DMARC
Esta es la parte que sorprende a las personas que pensaban que ya habían terminado.
SPF comprueba el remitente del sobre: la dirección utilizada en la conversación de entrega. El lector nunca lo ve. Lo que el lector ve es el encabezado From:, y DMARC existe para protegerlo.
Entonces DMARC requiere no sólo ese SPF o DKIMaprobado, pero que el dominio para el que pasó coincide con el dominio en el encabezado From:. Una plataforma de correo que envía en su nombre utilizando su propio dominio de sobre aprobará SPF por sí misma y no aprobará DMARC por usted, a menos que se haya configurado para alinearse.
Las configuraciones aspf y adkim del registro controlan cuán estrictamente se realiza esa coincidencia: r para relajado, que permite subdominios, s para estricto, que no.
05
El subdominio nadie estableció una políticapara
Un registro DMARC puede tener una política independiente para subdominios, sp. Si está ausente, los subdominios heredan la política principal, que suele ser lo que usted desea.
Lo que sale mal es un registro que establece p=reject y sp=none, a menudo durante una implementación cautelosa y luego se deja así. El dominio principal está protegido y cada subdominio está completamente abierto, que es donde irá un atacante.
06
Evidencia para las personas que ahora preguntan por nombre
Aseguradorasy los clientes empresariales preguntan cada vez más sobre DMARC específicamente, y algunos preguntan por el valor de la póliza en lugar de un sí. Un informe fechado que muestra el registro y cuándo cambió es una mejor respuesta que una captura de pantalla de un panel DNS, y es evidencia que puede conservar.
Conozca el día en que cambia su póliza
Una política DMARC puede debilitarse con una sola edición, realizada por una sola persona, por una buena razón: se estaba rechazando un lote de correo legítimo y la solución más rápida era volver a none. Está destinado a ser temporal. Rara vez lo es.
Los análisis programados convierten eso en una diferencia que le informan: esta política pasó de quarantine a none, este registro cambió. Las alertas llegan a la aplicación, por correo electrónico o a través de Slack, Teams, Jira o un webhook.
Paso 01 · Nombra eldominio
Un dominio que usted controla, agregado a su cuenta AYAsec. La propiedad se verifica antes de enviar cualquier cosa: AYAsec no programará análisis en infraestructura sobre la cual no haya demostrado control y [demostrará que requiere un registro DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). La comprobación rápida anterior omite esto: sin cuenta, sin verificación, sólo limitación de velocidad de IP y una regla de que el objetivo tiene que ser público.DIRECCIÓN.
Paso 02 · Deje que se ejecute la verificación
Los registros DMARC son públicos, por lo que se leen en lugar de sondearse. Busca _dmarc en su dominio de la misma manera que lo haría un servidor de correo receptor.
Paso 03 · Leer el resultado
Los hallazgos llegan ordenados por gravedad y con calificaciones de A+ a F. Un registro faltante y una política que solo observa no se encuentran en la misma lista indiferenciada.
De qué es parte esto
DMARC es uno de varios registros relacionados con el correo que AYAsec verificacomo parte de su análisis de DNS, junto con SPF, DKIM, MTA-STS, TLS-RPT y DNSSEC. Es un escaneo y esta página es aproximadamente una parte de lo que analiza. DNS lleva el 20% de la calificación compuesta. Los otros son HTTP al 30 %, TLS y puertos al 20 % cada uno, y credibilidad del dominio al 10 %. Todos ellos juntos son lo que gestión de la superficie de ataque significa en la práctica.
Preguntas antes de comprobar
¿Qué puedo comprobar?
Infraestructura de su propiedad o contratada para realizar pruebas. La comprobación rápida anterior noverifique eso por usted: solo limita la velocidad por IP y se niega a apuntar a nada que no sea una dirección pública. En su lugar, agregue el dominio a una cuenta de AYAsec y el control se verificará antes de que se ejecute cualquier cosa programada: un límite tanto legal como práctico, ya que un escaneo no verificado tampoco le sirve como evidencia.
No enviamos correo electrónico desde este dominio. ¿Necesitamos DMARC?
Sí, y posiblemente más. Un dominio que no envía nada debería decirloexplícitamente: un registro SPF que no autoriza a nadie y una política DMARC de reject. Un dominio estacionado sin registros es el más fácil de todos de suplantar, porque nadie está mirando las respuestas.
¿Cuánto tiempo debemos permanecer en p=none?
El tiempo suficiente para ver un ciclo completo de sus propios envíos, lo que para la mayoría de las organizaciones significa unas pocas semanas: tanto la facturación mensual como las campañas trimestrales deben aparecer en los informes antes de aplicarlas.Permanecer más de una cuarta parte normalmente significa que nadie lee los informes.
¿Pasar a reject alterará algo?
Romperá cualquier cosa que envíe sin autorización, que es el punto, pero ese conjunto incluye sus propias herramientas olvidadas hasta que las encuentre. Para eso están las etapas anteriores.
¿DMARC necesita tanto SPF como DKIM para aprobar?
No. Uno de los dos pasando y alineando es suficiente. En la práctica, DKIM es el más duradero de los dos, porque sobrevive al reenvío y el SPF a menudo no.
¿Conservas los resultados?
No es la comprobación rápida anterior: permanece en la memoria durante unos quince minutos para que puedas leerla una vez y luego desaparece. Se trata de una elección deliberada de privacidad, no de una limitación: nadie más que tú ve ese análisis y puedes descargar el resultado completo antes de que caduque. AgregarEn su lugar, transfiere el dominio a una cuenta de AYAsec y se guarda cada escaneo, una serie que le indica cuándo se debilitó la política y en qué medida. La retención depende de su plan.
Mantenga la historia, no solo el resultado
Ejecute la verificación completa de DNS en sus propios dominios, según un cronograma, con un mensaje cuando una política retroceda.
Las otras damas
SPFchecker: ¿qué servidores pueden enviar como su dominio?
comprobador de seguridad DNS
DNSSEC, servidores de nombres y los propios registros
Los cuatro escáneres
puertos, TLS, HTTP y DNS
Datos estructurados para incrustar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DMARC Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dmarc-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}No añada el marcado FAQPage o HowTo - Google retiró ambos tipos de resultados.