Cómo se usa
- Introduce un dominio, o pega una dirección de correo (se usa la parte después de @).
- Haz clic en «Consultar» para ver los resultados de MX, SPF, DKIM y DMARC. Si no se encuentra ninguna clave DKIM, introduce tu selector y consulta de nuevo.
- Corrige los registros en tu proveedor de DNS según lo sugerido, y vuelve a comprobar cuando surtan efecto.
Opciones explicadas
- SPF
- Un registro TXT en la raíz del dominio que empieza por v=spf1 y lista los servidores autorizados a enviar correo en nombre del dominio. Solo debe haber uno.
- DMARC
- Un registro TXT en _dmarc que empieza por v=DMARC1 e indica a los receptores qué hacer cuando fallan las comprobaciones de SPF y DKIM.
- Número de consultas
- Cada include, a, mx, ptr, exists y redirect de SPF cuesta una consulta DNS, y el total no debe superar 10. Los includes y redirects se expanden, así que las consultas anidadas también cuentan.
Cómo leer los registros
Un registro SPF es una lista de términos. Cada término puede empezar con un calificador que indica qué ocurre cuando coincide (RFC 7208):
| Calificador | Significado | Ejemplo |
|---|---|---|
+ (por defecto) |
Pasa | a o +a |
- |
Falla: rechazar | -all |
~ |
Softfail: aceptar pero marcar | ~all |
? |
Neutral: sin declaración | ?all |
El comprobador informa de que +all (o un all a secas) permite enviar a todos los servidores, de que ?all no hace nada contra la suplantación, y de que un registro sin all ni redirect= está sin terminar. También avisa sobre el mecanismo ptr y sobre un segundo registro SPF.
Un registro DMARC es un conjunto de pares etiqueta=valor separados por punto y coma (RFC 7489):
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; pct=100| Etiqueta | Significado |
|---|---|
v |
Versión, siempre DMARC1 y primera en el registro |
p |
Política del dominio: none, quarantine o reject |
sp |
Política de los subdominios; si no está, se aplica p |
rua |
Adónde enviar los informes agregados |
ruf |
Adónde enviar los informes de fallos |
pct |
Porcentaje del correo que falla al que se aplica la política; 100 si no está |
adkim, aspf |
Alineación de DKIM y SPF: r relajada (por defecto) o s estricta |
fo |
Opciones de los informes de fallos; 0 si no está |
Un registro DMARC sin rua se señala porque no recibirías ningún informe. En cuanto a DKIM, una clave RSA de menos de 2048 bits se señala como débil, y una clave cuyo valor p= está vacío se muestra como Revocada.
Preguntas frecuentes
¿SPF debería terminar en ~all o -all?
-all indica a los receptores que rechacen los servidores no listados; ~all los marca como sospechosos. Usa ~all hasta que estés seguro de que la lista está completa. Con DMARC configurado, la diferencia es pequeña.
¿Con qué política DMARC debería empezar?
Empieza con p=none y una dirección rua, observa los informes durante una o dos semanas para asegurarte de que todos los remitentes legítimos pasan, y luego pasa a quarantine y por último a reject.
¿Por qué no se encuentra ninguna clave DKIM?
Las claves DKIM viven en selector._domainkey.dominio, y el selector lo elige tu proveedor de correo. Se prueban automáticamente selectores habituales como default, selector1, selector2 y google; si no, busca el valor s= en la cabecera DKIM-Signature de un mensaje e introdúcelo como selector DKIM.
Privacidad
Los archivos se suben por HTTPS para procesarlos y se eliminan automáticamente en el plazo de una hora.