DMARC
En seguridad del correo, DMARC es una política que les dice a los servidores de correo receptores qué hacer con un mensaje que falla la autenticación, y que permite al dueño de un dominio recibir informes de quién está enviando en su nombre. Es el control que decide si se entrega un correo de phishing suplantado, y lo primero que se comprueba en cualquier evaluación externa.
Cómo funciona
DMARC se apoya en dos mecanismos anteriores que hay que entender por separado, y no como otros nombres de DMARC. SPF (Sender Policy Framework) publica en el DNS qué servidores tienen permiso para enviar correo de un dominio. DKIM (DomainKeys Identified Mail) añade una firma criptográfica a cada mensaje para que el receptor pueda verificar que no se ha alterado y que viene del dominio que firma. DMARC los ata: comprueba que el dominio que ve una persona en el campo «From» concuerda con el dominio que validó SPF o DKIM, y publica una política (none, quarantine o reject) que dice a los receptores cómo tratar el correo que falla. Además pide informes agregados, con los que el dueño se entera de qué fuentes están enviando en su nombre. SPF, DKIM y DMARC son tres protocolos distintos que se despliegan por separado.
Qué sale mal
La política es de lo que va todo esto, y suele ser el hueco. Un dominio publica DMARC en «none», que pide al receptor que no haga nada salvo informar, así que un mensaje suplantado sigue llegando. Desde el lado del atacante, una política ausente o sin aplicar significa que un correo que aparenta venir del propio dominio del objetivo se entrega, y esa es la condición previa para un spear phishing convincente y para el fraude del CEO. Incluso donde la política es «reject», un error frecuente es un registro SPF tan permisivo, o tantos subdominios sin cubrir, que la concordancia se cumple en infraestructura que no debería. Aplicar la política sin cobertura es una falsa sensación de seguridad.
Dónde aparece esto en una auditoría
Probamos si el dominio se puede suplantar en la práctica: los registros SPF, DKIM y DMARC publicados, el nivel de aplicación, la cobertura de subdominios y si un mensaje que falsifica el dominio llega de verdad a una bandeja de entrada. El hallazgo se escribe contra el hueco de política o de cobertura, con una entrega suplantada demostrada cuando el alcance lo permite. Conecta directamente con la protección del riesgo digital, porque los dominios parecidos son la siguiente jugada cuando el real no se puede suplantar. Esto forma parte de cómo probamos si tu dominio se puede suplantar.