Las mejores herramientas para analizar los informes DMARC

Cómo elegir

Para la mayoría de las pymes y startups, una plataforma SaaS es la buena elección: rápida de arrancar, poco mantenimiento, y la relación calidad/precio es buena en los planes gratuitos. Con varias decenas de dominios, o cuando el cumplimiento normativo es crítico, se justifica una herramienta de pago con alertas y un histórico largo.

Para una gran organización con restricciones de confidencialidad de los datos, puede imponerse una solución autoalojada. Para un uso ocasional o una auditoría puntual, basta con una herramienta en línea puntual.

El criterio más importante: ¿la herramienta identifica las fuentes? Un informe en bruto dice que 347 mensajes pasaron desde 40.107.1.25. Una buena herramienta dice que es Microsoft Exchange Online Protection, lo que lo cambia todo en cuanto a la acción a tomar.

Lo que añade DMARC.com

Nuestro analizador hace más que analizar XML. Con Thomas, el CISO virtual, no llega solo la lectura de los informes, sino un diagnóstico: qué fuentes hay que corregir, en qué orden y por qué. El análisis cruza los resultados de autenticación con la identidad de los remitentes (ASN, nombre de la organización, país) para entregar un plan de acción, no solo una visualización.

Entre los detalles que marcan la diferencia: Thomas identifica las fuentes que firman en DKIM con el dominio equivocado (firma válida pero no alineada), las fuentes SPF que pasan para el sobre pero no para el From:, y las IP desconocidas que merecen investigación.

Preguntas frecuentes

¿La herramienta debe recibir mis informes directamente? La mayoría de las plataformas SaaS proponen configurar el rua= hacia ellas para recibir directamente los informes. Cuando la preferencia es conservar los informes en casa, existen herramientas que permiten la subida manual o el sondeo (polling) de un buzón IMAP.

¿Bastan las herramientas gratuitas? Para empezar y para un volumen bajo de dominios, sí. Los límites habituales: histórico corto (7-30 días), número de dominios limitado, sin alertas. Para un seguimiento profesional a largo plazo, se justifica un plan de pago.

¿Contienen mis informes datos sensibles? Los informes RUA (agregados) no contienen datos personales de los destinatarios, únicamente IP y estadísticas. Es prácticamente neutro respecto al RGPD. Los informes RUF (forenses) pueden contener encabezados de mensajes sensibles, algo que hay que comprobar antes de enviarlos a una herramienta de terceros (ver informes forenses y privacidad).

¿Cuánto tiempo conservar los informes? No hay ninguna obligación legal específica sobre los informes DMARC como tales, pero desde una óptica de seguridad, conservar de 90 a 180 días de histórico permite detectar derivas lentas (una fuente que se degrada progresivamente) y tener una base para comparar antes/después de un cambio de configuración.

¿Puedo usar la dirección rua= dentro de mi propio dominio? Sí, es incluso recomendable para empezar: se crea dmarc@ejemplo.es o un buzón dedicado, se configura el rua= y se leen los informes a mano durante el rodaje. Después, se conecta una plataforma si el volumen se vuelve demasiado alto.

Lo que una buena herramienta debe hacer

Una herramienta DMARC es más que un analizador de XML. Como mínimo, debe aportar tres cosas. Primero, la identificación de las fuentes: transformar las IP de los informes en servicios reconocibles (Microsoft Exchange, Brevo, un proveedor conocido…). Sin eso, un informe no dice nada accionable. Después, la consolidación: agregar los informes de todos los proveedores de correo en una misma vista, para ver de un vistazo el estado de las fuentes en la semana en lugar de recorrer decenas de ficheros por separado. Por último, un mecanismo de alerta o de señalización de anomalías: una IP nueva que aparece, un volumen inusual de fallos, una fuente conocida que deja de pasar; todos ellos son eventos que merecen atención y que una lectura manual, una vez por semana, no detecta.

Las herramientas más maduras añaden a esto una capa de asesoramiento: además de mostrar el qué, dicen qué hacer. Ahí es donde Thomas se distingue de las herramientas puramente visuales: no entrega solo un panel de control, transforma los datos en recomendaciones accionables alineadas con el camino de p=none a p=reject.

La integración en el flujo de trabajo de seguridad

DMARC no es un proyecto puntual, es una monitorización continua. La herramienta elegida debe, por tanto, integrarse en el flujo de trabajo existente, no crear un nuevo silo que vigilar. Donde ya hay revisiones de seguridad semanales, la herramienta DMARC debe permitir aportar un resumen de una página, no un XML de 200 líneas. Donde hay un SIEM o una herramienta de tickets, la herramienta ideal puede enviarles alertas cuando aparece algo anómalo. Y con varios dominios (filiales, marcas, subdominios activos), la herramienta debe consolidar la vista de todos sin obligar a cambiar manualmente entre una docena de interfaces.

El criterio último: tras seis meses de uso, ¿siguen las conexiones siendo regulares porque la herramienta aporta valor, o ha caído en el olvido porque no avisa cuando algo merece atención? Una buena herramienta DMARC, como una buena alarma, se hace olvidar cuando todo va bien y se hace oír cuando algo va mal.

Preguntas frecuentes

¿Una herramienta debe recibir mis informes directamente? La mayoría de las plataformas SaaS piden configurar el rua= hacia ellas para recibir directamente los informes. Es la solución más sencilla, pero significa que los datos de informe se van a un tercero. Cuando eso es una restricción, existen herramientas que permiten la subida manual o el sondeo IMAP de un buzón bajo control interno.

¿Bastan las herramientas gratuitas? Para empezar con uno o dos dominios y poco volumen: sí. Los límites habituales de los planes gratuitos: histórico corto (7-30 días), número de dominios limitado, sin alertas. Para un seguimiento profesional duradero, se justifica un plan de pago en cuanto la visibilidad diaria importa.

¿Se pueden usar varias herramientas en paralelo? Sí, rua= admite varias direcciones. Algunas organizaciones conservan un buzón interno Y usan una plataforma externa: el buzón interno como copia de seguridad, la plataforma para el análisis. La limitación: el volumen de informes se multiplica por el número de direcciones.

¿Puede una herramienta vigilar varios dominios a la vez? Sí, y suele ser un criterio de elección importante. Conviene comprobar los límites de dominios por plan, y si la herramienta ofrece una vista consolidada multidominio. Un incidente en un dominio secundario puede pasar desapercibido si cada dominio se gestiona en un silo distinto.

Thomas, más que una herramienta

Las herramientas DMARC dan visibilidad. Thomas, en cambio, da dirección. La diferencia entre ver que 12 mensajes fallaron desde 192.0.2.1 y saber que es una antigua IP de un proveedor de marketing que hay que desactivar: es exactamente ese hueco el que Thomas rellena.

Análisis gratuito del dominio para ver las fuentes de envío identificadas y el plan de acción hacia p=reject.