p=quarantine o p=reject: ¿cuál elegir?

El verdadero equilibrio: falsos positivos frente a fuerza de protección

Toda la decisión reside en una tensión: cuanto más dura es la política, más protege, pero mayor es el coste de un error de alineación.

• En quarantine, una fuente olvidada cuesta un correo en spam: un incidente visible, reversible, que un usuario puede señalar.
• En reject, la misma fuente olvidada cuesta un correo desaparecido: un incidente potencialmente invisible hasta que un cliente se queja de no haber recibido nunca su confirmación.

Así que no se trata de «qué política es la mejor» en abstracto (reject siempre gana en protección), sino de «qué política se corresponde con la capacidad de garantizar que los informes están limpios». Un dominio cuyo ecosistema de envío es simple y estable puede ir directo a reject. Un dominio con veinte proveedores, filiales y un historial de sorpresas hará bien en detenerse en quarantine el tiempo de construir confianza.

Cuándo quarantine es un buen destino, y no solo una etapa

La visión clásica trata quarantine como un simple peldaño hacia reject. Es cierto en la mayoría de los casos. Pero existen situaciones en las que detenerse (temporalmente) en quarantine es una elección legítima, no una timidez:

• Ecosistema de envío complejo y cambiante. Si aparecen nuevas fuentes con regularidad (gran organización descentralizada, numerosas filiales), la red de la carpeta de spam tiene un valor operativo real mientras se estabiliza el inventario.
• Tolerancia muy baja a la pérdida silenciosa. Algunos flujos (atención al cliente, notificaciones críticas) son tan sensibles que un correo perdido sin rastro cuesta más que un correo en spam señalado.
• Fase de generación de confianza. Pasar unos días —a veces unas semanas— en quarantine antes de reject es una práctica sana, no una confesión de debilidad.

El matiz importa: quarantine puede ser un destino de transición asumida, pero quedarse en quarantine indefinidamente equivale a dejar una puerta entreabierta, ya que algunos destinatarios entregan igualmente el spam al usuario.

Cuándo reject se impone

A la inversa, varios contextos justifican llegar hasta reject sin demorarse:

• Marca con alto valor de suplantación —bancos, comercio electrónico, sector público, todo dominio cuyo nombre es moneda de cambio para los defraudadores. El relato detallado del lado bancario está en DMARC para bancos.
• Informes demostradamente limpios desde hace varias semanas, sin ninguna fuente legítima fallando. El riesgo de falso positivo es entonces casi nulo, y quedarse en quarantine solo prolonga la exposición.
• Exigencia de conformidad o de un socio que impone la aplicación estricta.

En estos casos, quarantine no es más que una esclusa de verificación de unos días, no un destino.

Lo que los destinatarios hacen de verdad

Un detalle que muchos ignoran: no todos los destinatarios tratan quarantine de la misma manera. Algunos lo respetan estrictamente (carpeta de spam); otros lo aplican de forma más agresiva, cercana a un rechazo; otros son más laxos. La consecuencia práctica: quarantine protege de forma menos uniforme que reject. Con reject, la instrucción es inequívoca y el comportamiento de los grandes proveedores es coherente. Es un argumento más para no eternizarse en quarantine cuando nada obliga a ello.

Conviene tener en cuenta también que la política aplicada depende de la alineación observada, verificable con calma en los informes agregados DMARC: dicen, destinatario por destinatario, qué disposición se tomó realmente.

El correo indirecto: reenvíos y listas de distribución

Un flujo reacciona de forma distinta a las dos políticas: el correo que llega a su destinatario a través de un intermediario. Un reenvío simple suele preservar la firma DKIM, así que DMARC sigue pasando. Pero una lista de distribución que reescribe el asunto o añade un pie de página rompe DKIM, y el reenvío rompe la alineación SPF: el mensaje falla entonces DMARC sin que el dominio emisor tenga nada que ver. En quarantine, acaba en el spam del suscriptor, visible y recuperable. En reject, rebota, y algunos programas de listas interpretan los rebotes repetidos como una dirección muerta y dan de baja al lector. Muchas listas modernas lo compensan reescribiendo el From: cuando el dominio del autor aplica una política estricta, lo que resuelve el problema. El reflejo práctico: localizar los flujos indirectos en los informes antes de endurecer. Rara vez es motivo para evitar reject, pero sí es motivo para saberlo de antemano.

Un criterio a menudo olvidado: BIMI

Cuando mostrar el logotipo en las bandejas de entrada (BIMI) forma parte de los objetivos, la pregunta está zanjada de antemano: BIMI exige una política de aplicación (quarantine o reject, y muchos ecosistemas piden reject). Quedarse en none cierra la puerta de BIMI; es un argumento de negocio concreto para terminar la subida de política, más allá de la mera seguridad.

Un ejemplo concreto

Tomemos dos dominios con perfiles opuestos.

El primero es el de una consultora de diez personas. Emite desde una sola plataforma (Google Workspace), más una herramienta de facturación. Dos fuentes, ambas alineables en DKIM en una tarde. Sus informes están limpios en tres semanas, sin ninguna IP legítima fallando. Aquí, detenerse en quarantine no aporta nada: el riesgo de falso positivo es cercano a cero, el ecosistema no se va a mover, y cada día que se pasa por debajo de reject es un día en el que un phishing aún puede aterrizar en el spam de un cliente. Decisión: quarantine un fin de semana para verificar, y luego reject.

El segundo es una administración con quince direcciones, cada una de las cuales ha conectado históricamente sus propias herramientas (boletines, alertas ciudadanas, plataformas de RR. HH., proveedores de eventos). El inventario nunca está del todo terminado; una nueva fuente aparece cada trimestre. Aquí, la red de la carpeta de spam vale oro: pasar demasiado rápido a reject haría desaparecer, sin rastro, el correo de una dirección que se había olvidado. Decisión: quarantine como destino asumido durante varios meses, el tiempo de dar fiabilidad al inventario, y luego reject una vez estabilizado el flujo, sin olvidar nunca que quarantine sigue siendo una puerta entreabierta.

Mismo estándar, misma secuencia, dos ritmos diferentes, porque el perfil de riesgo, ese sí, difiere.

Errores frecuentes

• Confundir quarantine con «aún no decidido». Muchos dominios se quedan años en quarantine por inercia, no por elección. Si nada obliga a demorarse, es una exposición gratuita.
• Pasar a reject sobre una foto. Una instantánea de informes limpios no basta: hace falta una tendencia de varias semanas para captar a los remitentes mensuales. El tema se trata en la lista de comprobación de elegibilidad.
• Olvidar la política de subdominio. Endurecer la raíz sin configurar sp y np deja a los atacantes una puerta lateral; véase la política de subdominio (sp y np).
• Creer que reject lo cubre todo. Detiene la suplantación directa del dominio, no los dominios parecidos ni el spoofing del nombre visible. Es una capa, no una muralla total.

El marco de decisión, en una frase

reject por defecto, y quarantine únicamente como esclusa de transición o como destino consciente cuando un flujo crítico y un ecosistema cambiante hagan que la pérdida silenciosa cueste más que el spam señalado. En todos los casos, la decisión debe tomarse, no sufrirse: una política elegida por miedo —«nos quedamos en quarantine, es más prudente»— sin haber verificado los informes es una decisión por defecto disfrazada.

La secuencia completa de la subida (none → quarantine → reject) se despliega paso a paso en llegar a p=reject sin romper el correo legítimo; para dominar el ritmo de ese endurecimiento, véase desplegar DMARC de forma progresiva.

Antes de publicar la política objetivo, un paso por el analizador DMARC gratuito muestra la alineación real de cada fuente e indica, en concreto, si el endurecimiento puede hacerse sin riesgo. Es la manera más rápida de sustituir la ansiedad de la elección por una decisión basada en hechos.