Analizador DMARC: las funciones que de verdad importan

Criterio 3 — La tendencia en el tiempo, no una foto fija

Un informe aislado es una instantánea. Muestra el estado de un día. El problema: muchas fuentes no emiten todos los días. La plataforma que envía la newsletter mensual, la herramienta de RR. HH. que emite las nóminas una vez al mes, el proveedor de eventos que solo escribe dos veces al año: ninguno aparecerá en una instantánea tomada el día equivocado. Endurecer la política fiándose de una sola foto expone a romper una fuente legítima que simplemente aún no había aparecido.

Un verdadero analizador conserva un histórico y muestra la evolución: las fuentes que aparecen, las que se degradan lentamente, las que solo emiten de forma esporádica. Sin histórico, la decisión de pasar a reject no puede tomarse con confianza, porque nada dice si los informes están limpios de forma duradera o solo limpios hoy. Es también lo que permite comparar un antes y un después tras una modificación de la configuración: se publica una clave DKIM y la curva de alineación debe subir en los días siguientes.

Este criterio pesa más a medida que el ecosistema se complica. Un dominio con dos fuentes diarias sabrá pronto si todo está limpio; un dominio con fuentes mensuales necesita varias semanas de histórico antes de tomar cualquier decisión.

Criterio 4 — La remediación accionable, no un volcado de XML

Es el criterio que de verdad separa las herramientas maduras de los visualizadores. Muchos analizadores se quedan en «aquí están los datos, bonitamente presentados». Es mejor que el XML en bruto, pero deja todavía todo el trabajo de interpretación. Una herramienta madura dice qué hacer: «la plataforma de marketing firma en DKIM con su propio dominio, no con el del remitente; este es el registro que hay que publicar» o «esta fuente SPF supera el límite de búsquedas, hay que aplanar su registro».

La diferencia en la práctica: sin consejo, se ve que una fuente falla y hay que adivinar por qué y cómo repararla, a menudo con una hora de búsquedas en la web. Con consejo, la herramienta entrega la corrección precisa, en orden de prioridad. Es exactamente ahí donde el copiloto de DMARC.com, Thomas, se distingue: no añade un panel de control más, transforma los datos en un plan de acción alineado con el camino de p=none a p=reject. La visualización dice qué; el consejo dice qué hacer. No juegan en la misma categoría.

Este criterio cuenta para todo el mundo, y en especial para quien no tiene un experto en DMARC a mano. El experto se conforma con buenos datos; para todos los demás, el consejo vale oro.

Criterio 5 — Las alertas sobre los eventos que importan

DMARC no es un proyecto puntual, es una monitorización continua. Y nadie se conecta a un panel de control todos los días. Por eso la alerta es un criterio estructural: la herramienta debe avisar cuando algo merece atención, sin obligar a ir a buscarlo. Dos eventos cuentan especialmente. El primero: aparece una nueva fuente —un servicio nunca visto empieza a enviar en nombre del dominio—. Es o bien un nuevo proveedor legítimo que alinear, o bien un intento de suplantación. En ambos casos, la noticia corre prisa. El segundo: una fuente conocida que empieza a fallar —una clave DKIM caducada, un registro SPF que ha cambiado— y una fuente hasta entonces limpia empieza a caer.

Una herramienta sin alertas condena a descubrir los problemas por casualidad o, peor, cuando un cliente se queja de no haber recibido un correo. Una herramienta que alerta se comporta como un buen sistema de alarma: silenciosa cuando todo va bien, audible cuando algo falla. La pregunta que hay que hacer, pues: sobre qué eventos sabe alertar la herramienta, y por qué canal (correo, webhook, integración).

Este criterio gana importancia con el tamaño del parque. Un dominio único muy estable puede vivir sin alertas; en cuanto hay varios dominios que gestionar, la alerta se convierte en la única forma realista de no perderse un incidente en un dominio secundario.

Criterio 6 — La cobertura multidominio y de subdominios

Para un dominio único sin subdominios activos, este criterio es prescindible. En los demás casos, es decisivo. Detrás se esconden dos dimensiones. Primero el multidominio: ¿permite la herramienta supervisar todos los dominios (filiales, marcas, dominios aparcados) desde una vista consolidada, u obliga a hacer malabares entre tantas interfaces como dominios? Un incidente en un dominio secundario pasa desapercibido si cada dominio está aislado en su propio silo. Después los subdominios: DMARC gestiona la política de los subdominios mediante las etiquetas sp (subdominios existentes) y np (subdominios inexistentes). Un atacante que ya no puede suplantar ejemplo.es intentará mail.ejemplo.es. Un buen analizador muestra el tráfico por subdominio y ayuda a ajustar sp y np, no solo la política raíz.

Para un proveedor o una gran organización, suele ser el criterio de elección número uno. Para un autónomo con un único dominio, es superfluo. La honestidad sobre la propia situación evita pagar por una cobertura que nunca se usará.

Criterio 7 — La gestión de los informes forenses (RUF) respetando la privacidad

Los informes RUF (forenses) son otra historia distinta de los RUA (agregados). Mientras que el RUA solo contiene IP y estadísticas, el RUF puede llevar cabeceras de mensajes reales, es decir, potencialmente datos personales. No todas las herramientas los gestionan, y entre las que lo hacen, no todas lo hacen bien. Un buen analizador, si trata el RUF, debe hacerlo con salvaguardas: redacción de los datos sensibles, retención corta y configurable, alojamiento controlado. Una herramienta que aspira informes forenses en bruto y los almacena indefinidamente en una nube opaca crea un problema de cumplimiento que antes no existía.

A tener en cuenta: muchos ecosistemas reducen hoy el uso del RUF, y es perfectamente defendible dejarlo desactivado. El punto de vigilancia en la compra es: si la herramienta ofrece RUF, ¿cómo protege esos datos? Este criterio pesa sobre todo para las organizaciones sujetas a fuertes exigencias de confidencialidad (sector público, salud, finanzas). Para un uso sencillo, el RUA basta de sobra.

Criterio 8 — La retención de datos y la exportación

Dos preguntas que hacer a cualquier candidato. ¿Cuánto tiempo conserva la herramienta el histórico? ¿Y se pueden exportar los datos en cualquier momento? La retención determina la capacidad de detectar las derivas lentas: una fuente que se degrada a lo largo de tres meses no se ve con siete días de histórico. Muchas ofertas gratuitas se topan con un techo de 7 o 30 días; para un seguimiento serio, apuntar a 90 o 180 días es más sano. La exportación, por su parte, es el seguro anti-cautividad: cambiar de herramienta, volcar los datos en un SIEM, o simplemente guardar un archivo, todo eso exige poder sacar los informes. Una herramienta que secuestra los datos es una herramienta que hace prisionero a su usuario.

Este criterio cuenta para todo el mundo, pero el listón sube con las exigencias de cumplimiento. Cuando hay que demostrar una postura a lo largo del tiempo ante un auditor, una retención corta se convierte en un lastre real.

Criterio 9 — El indicador de preparación para BIMI

Último criterio, más prospectivo. Cuando mostrar el logotipo en las bandejas de entrada (BIMI) forma parte de los objetivos, la herramienta ideal indica en qué punto está el dominio de ese camino. BIMI exige una política aplicada (quarantine o reject, a menudo reject) más, para el distintivo verificado, un certificado. Un analizador que anuncia «el dominio está en reject, listo para la etapa BIMI» o «esto es lo que falta» convierte un objetivo de marketing en una lista de tareas concreta. No es un criterio eliminatorio, pero es un buen indicador de madurez: una herramienta que piensa en BIMI es una herramienta que piensa más allá del simple parseo.

Este criterio habla sobre todo a las marcas para las que la visibilidad en la bandeja tiene un valor de negocio. Para las demás, es un extra, no una necesidad.

Un ejemplo concreto: dos analizadores, un mismo dominio

Nada como una comparación. Tomemos un dominio real: una pyme que envía desde su tenant de Microsoft 365 y desde una plataforma de emailing para sus campañas. Dos fuentes, un objetivo: pasar a reject sin romper las campañas.

El primer analizador recibe los informes, los parsea y muestra una tabla bien presentada: «1240 mensajes analizados, 78 % de conformidad DMARC», con un gráfico circular y la lista de las IP emisoras. Es limpio. Es legible. Y no sirve de nada: el 22 % de fallos está a la vista, pero sin saber ni de dónde viene exactamente, ni por qué, ni cómo corregirlo. El XML en bruto se ha cambiado por XML bonito. El trabajo de interpretación sigue entero sobre los hombros de la pyme.

El segundo analizador mira los mismos informes y traduce, en lenguaje llano: «La plataforma de marketing y el tenant M365 envían ambos sin alineación. Para M365: SPF pasa pero DKIM no está activado —la firma DKIM se activa en el centro de administración. Para la plataforma de marketing: firma en DKIM con su propio dominio; añadir este registro CNAME a la zona DNS alinea la firma con el dominio emisor. Una vez aplicadas estas dos correcciones, la alineación ronda el 99 % y el paso a reject deja de tener riesgo». Ahí está la diferencia. El primero muestra un problema; el segundo tiende la solución, en orden, con el registro DNS exacto que publicar.

¿Cuál elegir? La respuesta es evidente en cuanto se plantea así. El segundo ahorra horas de búsqueda y, sobre todo, hace avanzar hacia reject. El primero deja en el punto de partida con colores más bonitos. Es exactamente lo que abarca el criterio 4: la visualización no es remediación. Para profundizar en cómo comparar varios candidatos, cómo elegir una herramienta DMARC despliega un método completo, y herramienta DMARC gratuita o de pago ayuda a decidir cuándo basta la gratuita y cuándo hay que pasar por caja.

Las señales de alarma al evaluar

Ciertos indicios deben hacer retroceder. En desorden, las principales banderas rojas:

• La herramienta muestra IP sin nombrarlas nunca. Dejar adivinar a quién pertenece 40.107.22.15 es dejar lo más difícil del trabajo. Criterio 1 sin cumplir, se pasa de largo.
• Ningún detalle SPF/DKIM por fuente. Una cifra de conformidad global sin descomposición es bonita pero inaccionable. Nunca revelará qué corregir.
• Sin histórico, solo el instante presente. Sin tendencia, la decisión de política se toma sobre una foto, y rompe una fuente mensual que nadie había visto.
• Cero alertas. Una herramienta que no avisa de nada deja que los incidentes se descubran por la queja de un cliente. Un panel de control que se olvida no sirve de nada.
• Retención opaca o exportación imposible. Ignorar cuánto tiempo permanecen los datos, y cómo recuperarlos, es firmar por una cautividad.
• RUF almacenado sin salvaguardas. Una herramienta que aspira informes forenses en bruto y los guarda indefinidamente en una nube difusa fabrica un riesgo de RGPD.
• Solo consejo genérico. «Publique un registro DMARC» sin mirar las fuentes reales es un artículo de blog disfrazado de producto. El consejo debe estar anclado en datos concretos.
• Imposible probar sin tarjeta bancaria. Un buen analizador deja ver las fuentes propias antes de pedir un pago. Comprometerse a ciegas es motivo de desconfianza.

Ninguna herramienta marca todas las casillas a la perfección, pero dos o tres de estas banderas rojas acumuladas delatan un juguete, no una herramienta de trabajo.

En una frase

Un verdadero analizador DMARC identifica las fuentes, descompone su alineación, guarda el histórico y señala qué corregir, no solo a qué se parece el problema. La elección se hace en función de la realidad concreta: un dominio único y estable se conforma con lo esencial, un parque multidominio exige alertas y cobertura amplia. Y «de pago» no quiere decir «mejor»: la buena herramienta es la adaptada al contexto, gratuita incluida. A escala de la web, el Observatorio DMARC da una idea de las tendencias de postura más allá de un dominio aislado.

Lo más rápido para hacerse una idea: pasar un dominio por el analizador DMARC gratuito y mirar lo que una herramienta muestra de verdad sobre fuentes reales. En unos segundos queda claro si la identificación, el detalle por fuente y el consejo están a la altura —la tabla de esta guía sirve de vara de medir. Un resultado que produce un plan de acción claro hacia p=reject delata el buen tipo de herramienta. Alinear las fuentes de una vez por todas empieza aquí: crear una cuenta y dejar que Thomas guíe el camino hasta reject.