Configurar la dirección rua de DMARC (sin caer en la trampa)

v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.es

v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.es,mailto:informes@proveedor-analisis.es

La trampa: la autorización de destino externo

Esta es la regla que muchos ignoran: enviar los informes DMARC de un dominio a una dirección alojada en otro dominio exige una autorización explícita, publicada del lado del dominio receptor.

¿Por qué? Para evitar el abuso. Sin esta regla, cualquiera podría publicar rua=mailto:victima@otro-dominio.es y hacer que se viertan informes (potencialmente voluminosos) sobre un tercero que no ha dado su consentimiento. DMARC impone, por tanto, al dominio receptor que declare que acepta recibir los informes de otro dominio.

En concreto, si ejemplo.es envía sus informes a dmarc@proveedor.es, entonces el dominio proveedor.es debe publicar un registro TXT en este nombre preciso:

ejemplo.es._report._dmarc.proveedor.es  IN TXT  "v=DMARC1"

Sin este registro de autorización del lado de proveedor.es, los destinatarios se niegan a enviar los informes a esa dirección externa —y el silencio resultante deja perplejo a más de uno. Los servicios de análisis DMARC serios gestionan esta autorización automáticamente (proporcionan el registro a publicar, o lo alojan de su lado). Pero en un reenvío casero hacia otro dominio propio, la autorización corre por cuenta de quien lo monta.

A la inversa, mientras rua apunte a una dirección del propio dominio, no hace falta ninguna autorización —por eso empezar con dmarc@ejemplo.es es el camino más simple.

¿Buzón dedicado o servicio de análisis?

Una vez que los informes empiezan a llegar, la siguiente pregunta es: ¿qué se hace con ellos? Dos opciones.

• Un buzón dedicado. rua apunta a dmarc@ejemplo.es y los XML se leen uno por uno. Viable para un pequeño dominio de bajo volumen, pero pronto inmanejable: los informes son numerosos, comprimidos, y penosos de agregar a mano. Es un buen punto de partida para entender, no para explotar a largo plazo.
• Un servicio de análisis. rua apunta (o copia) hacia una plataforma que ingiere el XML y presenta cuadros de mando —fuentes de envío, tasas de alineación, evolución. Es la elección realista en cuanto el volumen sube. Las herramientas del mercado se comparan en cómo leer un informe DMARC: herramientas y método.

Sea cual sea la opción elegida, conviene recordar que los informes agregados no contienen ningún contenido de mensaje —únicamente metadatos estadísticos— lo que los hace explotables sin problema de confidencialidad, a diferencia de los informes forenses (ruf, ver RUA frente a RUF).

Qué esperar en volumen

La afluencia no debería sorprender. Cada gran destinatario (Gmail, Yahoo, Outlook, y decenas más) envía un informe al día en cuanto recibe correo que dice venir del dominio. Para un dominio activo, eso representa fácilmente varias decenas de archivos diarios. Es precisamente por eso que una dirección dedicada, y con el tiempo una herramienta de agregación, valen más que un buzón personal ahogado. Y ese volumen es una buena noticia disfrazada: cuantos más informes llegan, más completa es la visión de quién envía en nombre del dominio —cada archivo es un proveedor de correo que cuenta lo que ha visto pasar.

Ajustes opcionales: ri y tamaño

Existen dos opciones avanzadas, rara vez necesarias al principio:

• ri= fija el intervalo deseado entre dos informes agregados, en segundos (por defecto 86400, es decir 24 h). Los destinatarios no están obligados a respetarlo con precisión; en la práctica, el ritmo diario domina. El tema se trata en el intervalo de reporte de DMARC.
• El tamaño máximo. A una URI se le puede añadir un sufijo ! seguido de un tamaño (p. ej. mailto:dmarc@ejemplo.es!10m) para pedir que no se superen los 10 MB por informe. Útil para dominios muy grandes; superfluo para la mayoría.

Al arrancar, el registro debe seguir siendo simple: p, rua, y las etiquetas de subdominio bastan. Las opciones finas se añaden solo cuando surge una necesidad concreta. En la práctica, la práctica totalidad de los dominios viven muy bien sin tocar jamás ri ni el tamaño máximo: los destinatarios aplican sus propios ajustes por defecto, ampliamente razonables, y cargarse con esas etiquetas no aporta la mayoría de las veces más que un registro más largo de releer y mantener.

Descifrar el registro de autorización externo

Como este registro _report._dmarc es la fuente de la mayoría de los «no recibo nada», detallémoslo, porque su estructura desconcierta a primera vista. El nombre completo a publicar se lee de izquierda a derecha como una frase: «el dominio emisor ._report._dmarc. el dominio receptor». En nuestro ejemplo, ejemplo.es._report._dmarc.proveedor.es significa literalmente: «proveedor.es declara aceptar recibir los informes DMARC destinados a ejemplo.es.»

El valor, por su parte, es mínimo: "v=DMARC1" basta en la mayoría de los casos. Es una simple bandera de consentimiento, no una política completa. Dos sutilezas merecen conocerse:

• La autorización vive en el receptor, no en el emisor. Es una fuente de confusión mayor: por impecable que sea la propia zona DNS, si el dominio de destino no publica su registro de autorización, no llegará nada. Por eso delegar el reporte en un proveedor que «lo gestiona todo» disipa la ambigüedad —la autorización está de su lado, y sabe ponerla.
• Existe un comodín. Un receptor puede publicar una autorización genérica (*._report._dmarc.proveedor.es) para aceptar los informes de cualquier dominio emisor. Las grandes plataformas de análisis lo usan para no tener que crear un registro por cliente. No es algo que un emisor tenga que montar por su cuenta; es útil reconocerlo al auditar una configuración existente.

Por qué una dirección dedicada, desde el primer día

Muchos dirigen al principio rua hacia su dirección habitual «mientras tanto», y luego lo lamentan. Tres razones para crear de entrada una dirección dedicada del tipo dmarc@ejemplo.es:

• El volumen. Como vimos más arriba, un dominio activo recibe decenas de informes al día. En un buzón personal, ahogan el correo útil; en un buzón dedicado, se acumulan sin molestar, listos para tratarse en el momento oportuno.
• La trazabilidad. Una dirección dedicada hace el flujo de reporte identificable y auditable —valioso en un contexto de cumplimiento, donde hay que poder mostrar dónde y cómo se recogen las pruebas de autenticación.
• La transición suave. El día en que se pasa de una lectura manual a un servicio de análisis, basta con cambiar el reenvío de la dirección dedicada, sin tocar el registro DMARC ni republicar nada en el DNS.

Es una inversión de cinco minutos que ahorra una migración penosa más adelante.

Cambiar de dirección más adelante

Punto vecino: cambiar el rua tampoco es instantáneo. Los destinatarios leen el registro en el momento en que generan un informe, y la caché DNS hace que algunos sigan viendo el valor antiguo durante un tiempo tras la publicación del nuevo. Consecuencia práctica: el buzón antiguo no se elimina el día del cambio. Se mantiene vivo y vigilado hasta que el flujo que le llega se agote por sí solo, y solo entonces se desmantela. Conviene además confirmar que la nueva dirección recibe realmente antes de dar la migración por terminada —un informe que rebota no enseña nada a nadie. Tratada como un breve período de solapamiento en lugar de un cambio en seco, la modificación no cuesta nada y no pierde nada.

Errores frecuentes

• Olvidar la autorización externa. La trampa número uno: rua apunta a otro dominio sin el registro _report._dmarc correspondiente, y no llega ningún informe.
• Dirigir rua hacia un buzón personal. El volumen lo desborda y los informes acaban ignorados. Una dirección dedicada resuelve el problema de raíz.
• Confundir rua y ruf. rua = informes agregados (estadísticos, útiles, sin datos personales); ruf = forenses (sensibles, rara vez enviados). rua es el que hay que configurar en primer lugar.
• Publicar rua pero olvidar p. Lo contrario es más común, pero un registro mal formado impide a veces toda la lectura. La sintaxis completa merece una verificación.

Comprobar que funciona

Una vez rua en su sitio, la siguiente pregunta es legítima: «¿llegan realmente los informes?». Si no llega nada tras unos días, el diagnóstico tiene su propio método —ver no recibo informes DMARC, que repasa todas las causas posibles, de la sintaxis a la autorización externa.

Lo más rápido para validar la configuración sigue siendo pasar el dominio por el analizador DMARC gratuito: confirma que rua es sintácticamente correcto y legible por los destinatarios, antes incluso de que el primer informe aterrice en el buzón. Es la verificación que evita esperar tres días para descubrir una errata. Configurado una vez y validado desde fuera, rua transforma una política muda en un flujo de pruebas sobre el que se puede actuar de verdad.