Ningún informe DMARC recibido: las causas y el remedio

v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.es

3. El registro está en el nombre de host equivocado

Un registro DMARC debe publicarse en _dmarc.ejemplo.es, no en la raíz ejemplo.es. Es una confusión frecuente: se pega el valor v=DMARC1; … en un registro TXT en la raíz, y los destinatarios nunca lo encuentran, porque buscan específicamente en el subnombre _dmarc. Hay que verificar el host del registro TXT. Si está en la raíz, se vuelve a publicar en _dmarc.

4. El registro tiene un error de sintaxis

Un registro inválido puede ser ignorado en bloque. Los fallos que rompen la lectura: v=DMARC1 mal escrito o no en primera posición, dos registros DMARC distintos en _dmarc (solo debe haber uno), puntos y comas ausentes, o comillas parásitas añadidas dentro del valor. Un solo de estos defectos y el destinatario considera que no hay política DMARC explotable — por lo tanto, no hay informe.

5. El destino externo no está autorizado

Esta es la trampa más sutil, y una causa silenciosa muy extendida. Si el rua apunta a una dirección de un dominio distinto del dominio protegido (por ejemplo, un servicio de análisis), ese dominio receptor debe publicar un registro de autorización, sin el cual los destinatarios se niegan a enviar los informes.

En concreto, para que ejemplo.es envíe sus informes a dmarc@proveedor.es, el dominio proveedor.es debe publicar:

ejemplo.es._report._dmarc.proveedor.es  IN TXT  "v=DMARC1"

Si este registro falta, no llegará nada a través de esa dirección externa, incluso con una sintaxis rua perfecta. El mecanismo completo se detalla en configurar la dirección rua. El remedio más simple para probar: apuntar temporalmente rua a una dirección del propio dominio, que no requiere ninguna autorización. Si los informes llegan entonces, la causa está aislada.

6. El dominio recibe demasiado poco correo

Un informe agregado solo lo envía un destinatario que ha recibido correo que dice venir del dominio. Si este emite muy poco — o si nadie usurpa todavía su nombre — simplemente no hay gran cosa que informar. Los dominios pequeños de bajo volumen reciben naturalmente menos informes, y a veces solo de unos pocos grandes proveedores. No es un fallo: es el reflejo de su tráfico real. Un email de prueba enviado a una dirección Gmail u Outlook desde el dominio debería hacer aparecer un informe de ese proveedor al día siguiente. Es además la mejor prueba aislada: genera con certeza tráfico observable en un proveedor que, él sí, envía informes de forma fiable — si no llega nada tras esta prueba, el problema está en la configuración, no en el volumen.

7. Los informes llegan… pero al correo no deseado

Ironía frecuente: los informes llegan bien, pero el servicio de correo los clasifica como spam. Los ficheros XML comprimidos enviados por servidores automáticos se parecen, para un filtro antispam, a correo sospechoso. Antes de concluir que hay silencio, conviene verificar la carpeta de correo no deseado de la dirección rua. Si están ahí, una regla que los encamine hacia una carpeta dedicada recupera de golpe todo el historial que se creía perdido.

8. No todos los destinatarios envían informes

Por último, conviene tener en cuenta que el envío de informes agregados no es universal. La gran mayoría de los grandes proveedores (Gmail, Yahoo, Outlook, La Poste y muchos otros) los envían, pero algunos pequeños servidores de correo no emiten ninguno. Por lo tanto, nunca llegará un informe de cada destinatario del correo — solo de los que participan. Es normal, y la cobertura de los grandes actores basta ampliamente para tener una visión fiable del tráfico.

Prevención: una dirección rua hecha para durar

Muchos silencios de informes nacen el día en que se elige la dirección. Apuntar rua al buzón personal de alguien funciona — hasta la marcha de esa persona, la desactivación de la cuenta, y los informes que rebotan en el vacío sin que nadie se dé cuenta. Un buzón que se llena en silencio produce el mismo síntoma: los destinatarios intentan entregar, el mensaje es rechazado y, del lado del dominio, simplemente parece silencio. Es preferible una dirección de servicio dedicada, con un acceso delegado a varias personas, excluida de las reglas de limpieza automática agresivas, y con suficiente margen de cuota para un flujo regular de adjuntos. Es una pequeña decisión en el momento de la puesta en marcha que elimina toda una familia de averías futuras — las que se revelan meses después, precisamente cuando más falta hace el historial.

Por qué hay que resolver este silencio, y rápido

Se podría creer que un dominio sin informes «funciona de todos modos» — al fin y al cabo, la política está publicada. Es una ilusión peligrosa. Sin informes, el pilotaje es ciego: no hay forma de saber si una fuente legítima falla la alineación, ni si un atacante prueba ya el nombre. Peor aún, endurecer con seguridad se vuelve imposible, porque la decisión de pasar a quarantine y luego a reject reposa enteramente sobre lo que muestran los informes. Un dominio bloqueado en p=none sin reporting acumula lo peor de los dos mundos: ninguna protección, y ninguna visibilidad para ganarla.

Por eso el silencio de los informes no es un detalle cosmético que tratar «cuando tengamos tiempo»: es un bloqueo en el camino crítico hacia la aplicación. El diagnóstico anterior merece hacerse desde los primeros días tras la publicación, no meses después cuando uno se pregunta por qué el proyecto DMARC no avanza.

Un caso particular: los informes que se detienen de repente

El escenario difiere cuando los informes llegaban y han cesado. Ahí, las causas «de principiante» (mal host, rua ausente) quedan excluidas, puesto que funcionaba. Hay que buscar más bien un cambio reciente:

• Un registro DMARC reescrito por error durante una migración DNS o un cambio de herramienta, que ha suprimido o deformado la etiqueta rua.
• Una dirección rua que ya no existe — el buzón ha sido suprimido, o la redirección hacia el servicio de análisis se ha roto.
• Una autorización externa expirada o retirada del lado del proveedor, si el destino era externo.
• Un filtro antispam vuelto más agresivo, que se ha puesto a capturar los informes que antes pasaban.

La comparación entre el registro actual y el que funcionaba zanja la cuestión: la causa de una parada brutal es casi siempre un cambio fechado que se puede reencontrar.

El método de diagnóstico, en resumen

Ante un silencio de los informes, las causas se recorren en este orden:

1. Paciencia durante 48 h — los informes son diarios.
2. Verificar la presencia y la sintaxis de rua (mailto:, no ruf).
3. Controlar el nombre de host — en _dmarc, no en la raíz.
4. Validar la sintaxis global — un solo registro, v=DMARC1 al principio.
5. Probar con una dirección del propio dominio para eliminar la trampa de la autorización externa.
6. Enviar un email de prueba a Gmail/Outlook para generar tráfico que informar.
7. Mirar la carpeta de spam.

Nueve de cada diez veces, el culpable está en los cinco primeros puntos — y lo más a menudo, es o bien la impaciencia, o bien la autorización externa ausente. Este orden no es arbitrario: coloca al principio las causas más frecuentes y menos costosas de descartar, para no perder una hora en un caso raro antes de haber eliminado lo evidente.

Para zanjar rápidamente entre «mi configuración está rota» y «solo hay que esperar», basta con pasar el dominio por el analizador DMARC gratuito: dice inmediatamente si el registro es válido, si rua está correctamente formado y es legible por los destinatarios, y por tanto si el problema viene de la configuración o simplemente del plazo. Es la forma más rápida de saber hacia qué lado buscar.