Informes DMARC: RUA vs RUF, ¿qué diferencia?

Configurar RUA y RUF en tu registro DMARC

Las dos direcciones se configuran en tu registro _dmarc:

_dmarc.ton-domaine.fr.  IN TXT
  "v=DMARC1; p=quarantine; rua=mailto:dmarc@ton-domaine.fr;
   ruf=mailto:ruf@ton-domaine.fr; fo=1"

• rua=: la dirección donde quieres recibir los informes agregados. Puedes poner varias, separadas por comas.
• ruf=: la dirección para los informes forenses. A menudo diferente, a veces ausente.
• fo=: controla cuándo se genera un RUF. fo=0 (por defecto) = solo si todas las verificaciones fallan. fo=1 = en cuanto una verificación falla. fo=d = únicamente si DKIM falla. fo=s = únicamente si SPF falla. En la práctica, fo=1 da el máximo detalle, pero también el máximo volumen.

Si no quieres RUF (por elección de conformidad, o porque no los explotas), simplemente omite ruf= y fo=. El informe agregado (RUA) es el verdadero valor — el RUF es un complemento para diagnósticos específicos.

Lo que deberías hacer en la práctica

Para la gran mayoría de los despliegues, los RUA bastan ampliamente. Dan una visión completa de quién envía en tu nombre, con qué resultados, desde qué IP — exactamente lo que hace falta para progresar hacia p=reject. Analizarlos regularmente (o hacerlos analizar por una herramienta o por Thomas) te dice qué fuentes corregir, en qué orden, y cuándo estás listo para endurecer tu política.

Los RUF son útiles si debes diagnosticar un problema muy específico: un tipo de mensaje particular que falla, una fuente desconocida que envía en tu nombre. Pero ábrelos solo con conocimiento de su contenido potencialmente sensible, y sobre todo no los transmitas a terceros sin verificar lo que contienen.

El buen reflejo al empezar: configura un rua= hacia un buzón dedicado (o una plataforma DMARC), deja que los informes lleguen unos días, y léelos. El diagnóstico de quién envía en tu nombre está ahí casi entero. No necesitas RUF para dar este primer paso, ni para la mayoría de los que vienen después: la foto que dibujan los RUA basta para tomar cada decisión de endurecimiento con criterio, hasta llegar a p=reject.

Quién envía informes RUA

Los grandes actores envían RUA de manera fiable: Gmail, Outlook/Microsoft, Yahoo, Apple Mail, AOL, ProtonMail, y muchos otros. No es exhaustivo — solo los actores que han implementado el protocolo envían informes — pero en la práctica, los informes recibidos cubren la gran mayoría del tráfico de email mundial. Si envías emails en volumen, tendrás rápidamente suficientes datos para diagnosticar.

Nota: los RUA solo cubren el tráfico hacia los buzones de los proveedores que los envían. Si envías a servidores autoalojados o a pequeños proveedores, esos resultados no aparecen en tus informes.

Preguntas frecuentes

¿Debo configurar ruf=? No. Los RUA bastan para la práctica totalidad de los casos. Configura ruf= solo si tienes una necesidad de diagnóstico forense preciso y has evaluado las implicaciones de privacidad.

¿Cuánto tiempo antes de recibir informes? De unas horas a 24h tras la publicación de tu registro DMARC. Los primeros informes llegan a menudo a la mañana siguiente. Cubren el periodo anterior.

¿Llegan los informes de todos los destinatarios? No. Solo de los actores que han implementado el protocolo. Gmail y Microsoft envían informes muy fiables; muchos pequeños servidores no envían ninguno.

¿Exponen los RUA datos personales? No: los informes agregados contienen estadísticas e IP, pero no el contenido de los mensajes ni las direcciones de los destinatarios. Los RUF, por su parte, sí pueden contenerlos — es por eso que hay que manejarlos con precaución.

¿Puedo recibir los informes en una dirección externa? Sí, pero hace falta que el dominio de la dirección de recepción esté autorizado mediante un registro TXT en _dmarc.dominio-externo.fr (para evitar que cualquiera pueda enviar sus informes a cualquier buzón). Si la dirección está en tu propio dominio, es automático.

Cómo los informes te ayudan a progresar hacia p=reject

El valor principal de los informes DMARC no es confirmar que tus emails pasan — es mostrarte cómo hacerlos pasar. Un informe RUA es en realidad un mapa de tus flujos de envío: cada bloque <record> es una fuente, y el resultado de autenticación de esa fuente te dice exactamente lo que hay que corregir. El proceso es iterativo por naturaleza.

Al principio, con p=none, recibes informes sin que nada esté bloqueado. Es la fase de observación: descubres qué IP envían en tu nombre, cuáles pasan, cuáles fallan, y cuáles ni siquiera reconocías. Corriges las fuentes legítimas una por una — activando DKIM, alineando SPF, excluyendo las fuentes desconocidas — y vigilas los informes para confirmar que cada corrección ha surtido efecto.

Una vez que tus informes muestran que la gran mayoría de tus fuentes legítimas pasan (típicamente >95%), pasas a p=quarantine. La misma lógica se aplica: vigila los informes, verifica que ninguna fuente legítima esté impactada, afina. Luego subes a p=reject. En cada etapa, los informes RUA son tu instrumento de medida: te dicen dónde estás, no solo si pasa o si rompe.

La sutileza: un informe que muestra dmarc=fail sobre una IP no es forzosamente un problema. Si es una IP que no reconoces, quizá es falsificación (alguien intenta usurpar tu dominio) — y tu p=reject se lo impedirá. Si es una IP que reconoces como una fuente legítima mal configurada, es algo que hay que corregir. Distinguir los dos es lo esencial del trabajo de interpretación que los informes hacen posible.

Identificar las fuentes en tus informes

Un informe bruto te da una IP. Un informe bien explotado te dice a quién pertenece esa IP. Es esa conversión — IP → servicio de envío identificado — lo que transforma un informe en un plan de acción. Las herramientas DMARC hacen este trabajo automáticamente (ver las herramientas para analizar los informes), pero también puedes hacerlo manualmente para unas pocas IP clave mediante herramientas de resolución inversa.

Las IP recurrentes con dkim=pass, spf=pass, dmarc=pass son tus fuentes bien configuradas — no las toques. Las IP recurrentes con fallos sobre una fuente que reconoces son tus prioridades de corrección. Las IP desconocidas con dmarc=fail son o bien falsificación (ninguna acción por tu parte, deja que p=reject haga su trabajo), o bien una fuente legítima que habías olvidado (a corregir o a confirmar como apagada).

Deja que Thomas lea tus informes por ti

Recibir informes RUA es una cosa; explotarlos es otra. Thomas, tu CISO virtual, lee tus informes por ti, te dice qué fuentes pasan, cuáles fallan, por qué, y en qué orden corregirlas. Transforma un XML bruto en un plan de acción claro hacia p=reject.

Analiza tu dominio gratis → o crea una cuenta para informes DMARC descodificados automáticamente.