Qué son los informes DMARC que llegan por correo

Si tu registro DMARC contiene una dirección rua, proveedores como Google, Microsoft o Yahoo pueden enviar periódicamente mensajes con asuntos similares a Report Domain y un fichero XML, normalmente comprimido en ZIP o GZIP.

No son rebotes. Su recepción no implica por sí sola que exista un problema o que el dominio haya enviado spam: son informes agregados sobre los sistemas que entregaron mensajes usando tu dominio y sobre el resultado de SPF, DKIM y DMARC. La IP observada puede pertenecer al emisor original, a un relay o a un reenviador; no la clasifiques como autorizada o maliciosa sin revisar la ruta y la alineación.

Qué contiene el informe

El XML agrupa información como:

• IP del sistema que entregó los mensajes al receptor que generó el informe.
• Número de mensajes observados.
• Resultado de SPF y DKIM.
• Política DMARC aplicada.
• Dominio visible en la cabecera From.

El resultado bruto de SPF o DKIM no equivale por sí solo al resultado DMARC. Comprueba también si el dominio autenticado está alineado con el dominio visible en From: DMARC pasa cuando existe alineación en SPF o en DKIM.

Los informes agregados no incluyen normalmente el cuerpo completo de los mensajes. Aun así, evita publicar los ficheros porque contienen información técnica sobre tus fuentes de envío.

Diferencia entre rua y ruf

• rua solicita informes agregados y es la opción habitual para monitorización.
• ruf solicita informes forenses de fallos. Muchos proveedores no los envían y, cuando existen, pueden contener cabeceras, fragmentos o incluso el mensaje original. No los actives sin definir quién puede acceder a ellos y durante cuánto tiempo se conservarán.

Dejar de recibirlos o cambiar el destinatario

Edita el registro TXT de _dmarc.tudominio.com y modifica la dirección o elimina la etiqueta completa rua= o ruf=. No borres todo el registro DMARC solo para detener los informes, porque también eliminarías la política que protege el dominio frente a suplantaciones.

Debe existir un único registro DMARC. Si quieres analizar los XML sin recibirlos en un buzón personal, utiliza una dirección dedicada o un servicio de procesamiento de informes.

Si la dirección de rua o ruf pertenece a un dominio organizativo distinto del que publica la política, el dominio receptor debe autorizar esos informes mediante DNS. Por ejemplo, para una política en tudominio.com que envía a dmarc@informes.example, debe existir un TXT con este nombre:

tudominio.com._report._dmarc.informes.example

Su valor es v=DMARC1. Sin esta autorización, los generadores conformes ignoran ese destino externo. El proveedor que recibe los informes debe facilitar el registro exacto. Una dirección bajo otro subdominio del mismo dominio organizativo no requiere esta autorización externa.

Qué revisar en los resultados

Busca IP desconocidas con muchos mensajes y fuentes legítimas que fallen la alineación de SPF o DKIM. Antes de endurecer la política de p=none a quarantine o reject, identifica y autentica todos los servicios autorizados: hosting, formularios, tienda, CRM, Microsoft 365, Google Workspace o plataformas de marketing. Aplica el cambio de forma gradual y revisa los informes; p=reject no es apropiado hasta confirmar que no bloqueará fuentes legítimas.

La guía Configurar el registro DMARC explica la política y sus etiquetas principales.

Leer un caso sin confundir los resultados

Si una fila muestra DKIM válido para un dominio de la plataforma y el remitente visible pertenece a tu empresa, comprueba la alineación antes de darlo por correcto. La firma puede ser válida y no servir para superar DMARC de tu dominio. También puede pasar DMARC mediante SPF alineado aunque esa firma no lo esté.

Relaciona cada IP y dominio con un servicio conocido y con el periodo del informe. Un volumen inesperado merece revisión, pero una IP desconocida aislada puede ser un reenviador. No autorices automáticamente todas las IP que aparezcan en el XML.

Los informes describen lo que observó cada receptor; no son una lista completa de todos tus envíos ni una medición de bandeja principal. Conserva periodos comparables y anota cuándo cambiaste la política para interpretar la evolución.