DMARC en los cuestionarios de seguridad para proveedores

Lo que un evaluador verifica realmente

La mayoría de las casillas de un cuestionario no se pueden verificar desde fuera. Política de contraseñas, cifrado en reposo, concienciación: el evaluador registra la declaración sin medio alguno de contrastarla. La línea DMARC es de otra naturaleza, porque la política está publicada en el DNS público. Basta una consulta:

dig TXT _dmarc.ejemplo.es +short
"v=DMARC1; p=reject; rua=mailto:dmarc@ejemplo.es"

Un evaluador bien equipado lee más que la etiqueta p=. La presencia de rua= cuenta —informes recopilados indican una vigilancia viva, no un registro publicado una vez y olvidado—. Se comprueba la cobertura de los subdominios, igual que un sp=none discreto que vacía la protección. También salta a la vista el modo de prueba de DMARCbis (t=y), que suspende la aplicación de la política — el equivalente moderno del antiguo pct=0, que el estándar actual ha eliminado. Se confirman SPF y la presencia de selectores DKIM en los mismos dominios, a veces incluso la existencia de una política MTA-STS. Y todo ello se automatiza: las plataformas de calificación de terceros puntúan estas señales en continuo, sin llegar a enviar cuestionario alguno.

Dicho de otro modo: la casilla DMARC es probablemente la única de toda la hoja cuya respuesta el comprador ya conoce antes de leer la declaración. Eso es lo que la hace tan peligrosa para quien responde deprisa — y tan valiosa para quien responde con verdad.

Responder con honestidad, según el estado real

Tres situaciones, tres respuestas sólidas.

La política está en p=reject o p=quarantine. La respuesta es sencilla: sí, con el registro DNS adjunto, la lista de dominios cubiertos y una frase sobre la supervisión de los informes. Es una ocasión de sumar puntos a bajo coste: pocos encuestados lo documentan con tanta limpieza.

El despliegue está en curso, la política sigue en p=none. La tentación del «sí» aproximado es fuerte — «tenemos DMARC», técnicamente cierto puesto que existe un registro. Es la peor opción: la contradicción con el DNS público salta a la vista del primer evaluador equipado, y todas las demás respuestas de la hoja se vuelven sospechosas de golpe. La respuesta sólida es un estado documentado con trayectoria fechada: «política p=none con recopilación y análisis de informes desde marzo; paso a p=quarantine planificado para el cuarto trimestre; p=reject previsto para el primero». A ojos de un evaluador serio, ese nivel de precisión vale más que un «conforme» escueto: demuestra que el tema está pilotado, presupuestado y calendarizado. Un p=none asumido con un plan creíble pasa el filtro; un «sí» que el DNS desmiente no lo pasa nunca dos veces.

No hay nada en marcha. Admitirlo, y adjuntar un compromiso fechado en lugar de una promesa vaga, sigue siendo la jugada correcta. Los cuestionarios rara vez eliminan línea a línea; la coherencia de conjunto pesa más que una casilla aislada. La checklist DMARC 2026 proporciona el esqueleto de un plan creíble que anexar a la respuesta — inventario de fuentes, recopilación de informes, endurecimiento progresivo.

El lado comprador: qué pedir, y la verificación en treinta segundos

Para la organización que evalúa a sus proveedores, la línea DMARC es un regalo: la única cuya verificación cuesta menos que leer la respuesta. Aun así, la pregunta tiene que estar bien planteada. «¿Hay DMARC?» invita a un sí hueco; las formulaciones útiles piden la política efectiva (p=) en el dominio principal y en los dominios de marca, el equipo o la herramienta que vigila los informes, y el tratamiento de los dominios que no envían.

La verificación cabe después en treinta segundos: una consulta TXT sobre _dmarc. seguido del dominio del proveedor, desde cualquier puesto, o un analizador en línea que devuelve de una pasada política DMARC, SPF y DKIM. La lectura es directa. Un p=reject coherente con la declaración da credibilidad al cuestionario entero. Un p=none declarado «conforme» es una señal de alarma que va mucho más allá del correo: mide la sinceridad de quien responde. La distancia entre la respuesta declarada y el estado DNS observado es la información más valiosa de toda la hoja — y sale gratis.

Una señal de madurez más allá del correo

¿Por qué dar tanto peso a una línea entre trescientas? Porque una política DMARC en aplicación no se improvisa. Presupone un inventario exhaustivo de los flujos de envío —incluidos los que el equipo de marketing conectó sin avisar—, una gobernanza DNS que funciona, la coordinación entre equipos internos y prestadores, y después una vigilancia continua para que la política sobreviva a los cambios. Una organización que ha llevado ese proyecto hasta el final demuestra una capacidad de ejecución transversal que desborda con mucho el sistema de correo.

Es una correlación, no una prueba: un dominio en p=reject puede convivir con una infraestructura por lo demás descuidada, y lo contrario también ocurre. Pero en un ejercicio de evaluación en masa donde casi todo es declarativo, una señal pública, verificable y difícil de falsear vale oro. Los evaluadores lo saben — y precisamente por eso la línea está ahí.

Preparar la respuesta estándar

En lugar de redescubrir la pregunta con cada hoja de cálculo, los equipos rodados mantienen lista una respuesta tipo, revisada en fechas fijas. Un párrafo de referencia se parece a esto:

Todos los dominios de envío de la empresa publican una política DMARC p=reject, con alineamiento SPF y DKIM verificado fuente a fuente. Los dominios que no envían están bloqueados (v=DMARC1; p=reject; más un registro SPF sin mecanismo de emisión). Los informes agregados se recopilan y analizan en continuo mediante una plataforma dedicada; toda fuente de emisión desconocida dispara una alerta. Última revisión: [fecha].

Las evidencias que conviene tener preparadas como anexos: una exportación fechada de los registros DNS, una captura del panel de supervisión, la lista de dominios cubiertos y —para un despliegue en curso— el calendario con hitos. Una advertencia: esta respuesta caduca. Un dominio adquirido en una fusión, una nueva herramienta de emailing conectada por una filial, y el párrafo miente. La revisión trimestral del párrafo y de sus evidencias forma parte integral de la respuesta.

En resumen

La pregunta DMARC se ha instalado en los cuestionarios a proveedores porque la evaluación de terceros se volvió obligatoria —NIS2, DORA, ISO 27001— y porque el correo de un proveedor es un vector de ataque directo contra sus clientes. Su singularidad: la respuesta es verificable en el DNS público, en treinta segundos, por cualquiera. La única estrategia sostenible es la honestidad documentada —un p=none con trayectoria fechada vale más que un «sí» que el DNS desmiente— y, del lado comprador, la comparación sistemática entre declaración y realidad observada, que dice más que todas las demás casillas juntas.

Antes de que llegue la próxima hoja, un pase del dominio por el análisis DMARC gratuito muestra exactamente lo que verá el evaluador: política efectiva, SPF, DKIM, cobertura de subdominios. Y si el estado constatado aún no corresponde a la respuesta deseada, crear una cuenta permite emprender la trayectoria hacia p=reject con hitos fechados — lo bastante para convertir, en el próximo cuestionario, una casilla incómoda en una demostración de madurez.