Analizador DMARC gratuito
Compruebe con un clic la configuración DMARC, SPF y DKIM de un dominio: puntuación de postura, anomalías detectadas y pasos concretos hacia p=reject. Sin cuenta y sin instalar nada.
Cómo funciona
- 1
Introduzca un dominio
Basta con el nombre de dominio: la parte que sigue a la arroba en una dirección de correo. Sin cuenta, sin prueba de propiedad y sin tocar el DNS, porque el análisis solo lee registros públicos.
- 2
Consulta del DNS público
El analizador consulta el registro DMARC publicado en _dmarc, el registro SPF del dominio y los selectores DKIM más habituales, y después despliega cada include de SPF para contar las consultas DNS realmente consumidas.
- 3
Veredicto y plan de acción
El resultado muestra una puntuación de postura sobre 100, el estado de cada protocolo y la lista de anomalías. Thomas, el CISO virtual, recorre a continuación el itinerario de corrección paso a paso y responde a las preguntas.
Por qué analizar un dominio
Sin una política DMARC aplicada, nada impide que un tercero envíe mensajes que muestren su nombre de dominio en el campo del remitente: los servidores de destino no tienen forma de distinguirlos de los suyos. Publicar un registro tampoco basta, porque muchos dominios se quedan en p=none, una política de observación que recoge informes pero no bloquea nada. El análisis indica en segundos a qué lado de esa frontera está un dominio y qué le falta para cruzarla.
Suplantación del dominio
Sin una política que aplique el rechazo, el dominio puede servir de fachada a campañas de phishing o de fraude en transferencias, a costa de los clientes y socios que reconocen ese nombre.
Correos legítimos bloqueados
Un registro SPF que supera las diez consultas DNS, una clave DKIM revocada o una alineación rota hacen fracasar la autenticación de envíos perfectamente legítimos: facturas, avisos, campañas.
Entregabilidad a la baja
Los grandes proveedores de correo ya exigen una política DMARC publicada a los remitentes de volumen. Un dominio que no cumple ve cómo sus mensajes acaban en la carpeta de spam, sin aviso previo ni notificación.
Qué mide el análisis
DMARC no funciona solo: se apoya en SPF y DKIM y, sobre todo, en la alineación entre el dominio que ve el destinatario y el que se ha autenticado realmente. Un mensaje puede superar SPF y aun así fallar DMARC cuando ambos dominios difieren, con diferencia la causa más frecuente de fallos inesperados. Por eso el analizador devuelve las tres piezas a la vez: la política DMARC publicada (none, quarantine o reject) y el porcentaje de tráfico al que se aplica, la validez del registro SPF y el número de consultas DNS que consume, y por último los selectores DKIM detectados junto con el estado de sus claves. También se comprueba si hay una dirección para informes agregados: sin ella, la política se publica a ciegas.
Para recordar — Una política p=none no bloquea nada: sirve para observar antes de endurecer. La protección empieza en p=quarantine y solo es completa en p=reject aplicado al 100 % del tráfico.
Cómo funciona el analizador
Todo ocurre sobre registros DNS públicos, los mismos que consulta cualquier servidor de correo para evaluar un mensaje entrante. No se sondea ningún servidor del dominio, no se envía ningún mensaje y no se modifica nada: el análisis es estrictamente pasivo y puede recaer sobre un dominio ajeno, el de un proveedor, un cliente o un objetivo de adquisición. Los registros SPF se despliegan de forma recursiva, include tras include, para contar las consultas DNS reales y no solo las líneas visibles. Los selectores DKIM se buscan entre los más extendidos en proveedores de correo y plataformas de envío: un selector propio puede escapar a esa búsqueda sin que la configuración sea incorrecta, y el resultado lo señala en lugar de concluir que DKIM no existe.
Preguntas frecuentes
- ¿El análisis es realmente gratuito?
- Sí, y sin cuenta. El resultado completo aparece de inmediato: puntuación de postura, detalle por protocolo, anomalías e itinerario de corrección. La cuenta gratuita solo cubre lo que viene después: recibir los informes agregados y seguir la evolución en el tiempo.
- ¿Se puede analizar un dominio ajeno?
- Sí. Los registros DMARC, SPF y DKIM son públicos por diseño: deben ser legibles por todos los servidores de correo del mundo para cumplir su función. Analizar el dominio de un proveedor o de un socio no requiere ninguna autorización.
- ¿Qué significa la puntuación de postura?
- Resume sobre 100 la solidez de la autenticación: severidad de la política DMARC, validez de SPF, presencia de claves DKIM y recogida de informes. Una puntuación alta refleja una configuración coherente y aplicada, no solo unos registros que existen.
- ¿El análisis modifica algo en el dominio?
- No. Ninguna escritura, ninguna conexión a los servidores del dominio, ningún mensaje de prueba. La operación se limita a consultas DNS de lectura, idénticas a las que realiza un servidor de destino con cada mensaje que acepta.
- ¿Qué hacer después del diagnóstico?
- Primero corregir lo que rompe la autenticación de los envíos legítimos, después publicar una política DMARC en observación con una dirección de informes, leer esos informes hasta identificar todas las fuentes de envío y endurecer poco a poco hasta p=reject. El itinerario que aparece bajo el resultado recorre estos pasos en orden.
Un dominio protegido, no solo configurado
Analizar un dominioGratuito e inmediato: consulta del DNS público, sin necesidad de cuenta.