Un sitio puede funcionar perfectamente mientras su correo permite suplantación o impide entregar restablecimientos de contraseña. El problema reside en registros y servicios de envío, no en el aspecto de la web. Protege el dominio sin rechazar mensajes legítimos.
El módulo DNS de correo consulta MX, TXT, DMARC, CAA y descubrimiento MTA-STS del nombre objetivo. Informa señales observadas y conserva errores. Revisa el dominio que realmente envía: analizar www.example.com no equivale automáticamente a evaluar todo el correo de example.com.
Alcance de la auditoría
Qué se puede medir
- MX, SPF TXT, _dmarc TXT, CAA y descubrimiento _mta-sts observados en el nombre consultado.
- Finales SPF permisivos o neutrales, recuento directo de mecanismos con consultas DNS y política de supervisión DMARC.
- Controles satisfactorios compatibles y errores DNS como prueba.
Qué no demuestra
- El módulo nativo no envía mensajes, examina llegada a bandeja ni verifica todos los selectores DKIM.
- El recuento SPF no expande recursivamente includes: un número bajo no demuestra respetar el límite.
- Encontrar el TXT MTA-STS no demuestra que funcionen la política HTTPS o el TLS del servidor de correo.
Analiza un objetivo autorizado y verificado y revisa los módulos efectivos del plan y perfil. Esta evaluación cubre configuración pública; conectar el proveedor o demostrar entrega requiere trabajo separado.
Inventaría remitentes antes de cambiar DNS
Incluye correo de empleados, soporte, mensajes transaccionales, facturación, marketing y servicios antiguos activos. Registra dominio From visible, remitente del sobre, dominio firmante DKIM y responsable. Pide a cada proveedor sus registros vigentes; no adivines un include copiándolo de otra empresa.
Conserva nombre consultado, resultado y hora. Un timeout DNS no es una respuesta autoritativa de ausencia. Revisa resultados inesperados con el proveedor y considera la caché. MX describe recepción; se puede enviar sin MX, por lo que no recibir un aviso al faltar MX no prueba seguridad.
Valora las políticas proporcionalmente
| Observación | Prioridad habitual | Importancia |
|---|---|---|
| SPF termina en +all | Alta | Autoriza a cualquier remitente |
| No se observa SPF o DMARC en dominio de correo | Normalmente media; verificar consulta y dominio | Falta política contra suplantación |
| Aviso de límite SPF | Media | Puede fallar la evaluación |
| DMARC p=none | Baja; puede ser etapa intencional | Supervisa sin solicitar cuarentena o rechazo |
| Sin CAA o descubrimiento MTA-STS | Normalmente baja | Refuerzo adicional por investigar |
Una debilidad de política no prueba que llegara correo falsificado. Un control de presencia correcto tampoco garantiza entrega. Prioriza dominios de acceso, facturas y soporte: su abuso afecta directamente a la confianza.
Corrige SPF conservando los remitentes válidos
SPF evalúa al emisor conectado según el dominio del sobre, no autentica directamente el From visible. Publica una única política coherente con los proveedores que realmente envían. Evita +all; decide la política final tras probar fuentes legítimas.
El límite del protocolo es diez términos que consultan DNS durante la evaluación, incluidos includes anidados y redirecciones. El recuento textual de Sitelemetry es una alerta temprana, no una evaluación recursiva. Comprueba la cadena completa con el proveedor. Elimina emisores retirados y mecanismos innecesarios primero. Sustituir includes por IP fijas a ciegas crea mantenimiento cuando cambia la infraestructura del proveedor.
Pasa DMARC de observación a aplicación gradual
DMARC relaciona el From visible con autenticación SPF o DKIM alineada. Puede pasar mediante cualquiera de las dos; no siempre se necesitan ambas. DKIM usa selectores específicos del proveedor: un escáner público no puede suponer que encontró todas las claves.
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.comEs una política ilustrativa de supervisión. Sustituye el buzón por uno que controles y puedas procesar; un destino externo puede necesitar autorización DNS. Examina informes y prueba todos los flujos, incluidos efectos del reenvío. Corrige alineación antes de quarantine o reject. Evita perder facturas y recuperaciones de contraseña por imponer rechazo con un inventario incompleto.
CAA y MTA-STS responden a preguntas distintas
CAA indica qué autoridades pueden emitir certificados. Ajusta restricciones a proveedores reales, certificados gestionados por CDN y comodines. Una restricción incorrecta puede impedir renovación. Su ausencia es una mejora posible, no prueba de que un atacante ya tenga certificado.
MTA-STS permite a remitentes participantes aplicar una política TLS al correo entrante. El TXT de descubrimiento es solo una parte: deben concordar archivo HTTPS, patrones MX y certificados de servidores. Prueba el conjunto antes de exigirlo. No equivale al HTTPS web y la ausencia de TXT no demuestra que todo el correo viaje sin cifrar.
Valida registros y entrega real
- Guarda los valores anteriores y responsables de cada servicio.
- Publica el cambio revisado en DNS autoritativo y confirma el nombre consultado.
- Comprueba tras los tiempos de caché y repite el mismo alcance.
- Envía mensajes controlados desde cada servicio a cuentas propias.
- Revisa autenticación del destinatario e informes DMARC; confirma recuperación de contraseña, facturas y respuestas de soporte.
Separa controles de política y seguimiento de entrega. Reputación, filtros y contenido siguen influyendo aunque la autenticación pase. Documenta errores DNS, selectores no evaluados y servicios no probados para que un resumen verde no oculte lagunas.
Preguntas frecuentes
¿Sitelemetry verifica que todo el correo llegue a la bandeja?
No. DNS público permite evaluar configuración. La entrega requiere mensajes controlados, resultados de autenticación del destinatario y datos del proveedor o buzón.
¿DMARC p=none está mal configurado?
Puede ser una fase intencional de supervisión. No solicita aplicación: revisa informes y completa alineación antes de endurecerla.
¿Un SPF que pasa puede superar el límite?
Sí. El control cuenta mecanismos visibles, no evalúa recursivamente todos los includes. Verifica las políticas anidadas antes de afirmar que la evaluación completa cumple.
Fuentes y lecturas
- RFC 7208: marco de políticas del remitentewww.rfc-editor.org
- RFC 9989: DMARCwww.rfc-editor.org
- RFC 8659: autorización DNS de autoridades certificadoraswww.rfc-editor.org
- RFC 8461: seguridad estricta SMTP MTAwww.rfc-editor.org
- RFC 9990: informes agregados DMARCwww.rfc-editor.org
El equipo de Sitelemetry ha contrastado el contenido con el alcance del producto y las fuentes primarias enlazadas. Los ejemplos son ilustrativos salvo que se identifique un caso observado.
