Comprobar DMARC: ¿está protegido este dominio contra la suplantación?
DMARC dice a los servidores de correo qué hacer con un email que dice venir de un dominio pero no pasa sus comprobaciones: entregarlo, mandarlo a spam o rechazarlo. Escribe un dominio, una dirección de email o un enlace y te enseñamos su política DMARC y qué significa.
Cómo se usa
- Escribe el dominio que quieres revisar, o pega una dirección de email o un enlace: solo usamos su dominio.
- Pulsa «Comprobar DMARC». Buscamos su registro en _dmarc y, si no lo tiene, en sus dominios superiores, igual que hacen los servidores de correo.
- Fíjate en la política: «reject» o «quarantine» sobre el 100 % del correo protege el dominio; «none» solo vigila.
Qué significa cada resultado
- Este dominio no tiene DMARC
- No pide a los servidores que frenen el correo que se hace pasar por él, así que es más fácil suplantarlo.
- El registro DMARC tiene errores
- Los servidores pueden ignorarlo, y el dominio queda como si no tuviera DMARC. Las señales de abajo dicen qué falla.
- DMARC solo vigila
- La política es «none»: el dominio recibe informes, pero el correo falso en su nombre se sigue entregando.
- DMARC solo protege una parte del correo
- La política se aplica a una parte del correo que falla; el resto se entrega como si no hubiera política.
- El correo falso va a spam
- La política es «quarantine»: los servidores mandan a la carpeta de spam el correo que no pasa las comprobaciones.
- El correo falso se rechaza
- La política es «reject»: los servidores rechazan el correo que se hace pasar por este dominio. Es la protección más fuerte.
Qué significa cada señal
- El dominio no publica ningún registro DMARC, ni él ni sus dominios superiores.
- Hay más de un registro DMARC. Solo se permite uno, así que los servidores no aplican ninguno.
- El registro tiene un error, como una política que no existe, así que los servidores pueden ignorarlo.
- La política es «none»: solo pide informes y el correo falso se sigue entregando.
- La política solo se aplica a una parte del correo que falla (pct por debajo de 100).
- No pide informes (rua), así que el dueño del dominio no se entera de quién envía correo en su nombre.
- El dominio no tiene registro propio: se aplica el de un dominio superior.
- La política de los subdominios (sp) es más débil que la principal.
Herramientas relacionadas
Qué países cubre
Funciona con dominios de cualquier país. Buscamos el registro como lo hacen los servidores de correo: en el propio dominio y, si no lo tiene, en sus dominios superiores (hasta cinco niveles). Las direcciones de los informes solo se muestran con su dominio.
Leemos los registros DNS públicos del dominio. Si escribes una dirección de email o un enlace, solo sale de tu navegador su dominio. No guardamos el dominio que consultas.
Preguntas frecuentes
¿Qué es DMARC?
Domain-based Message Authentication, Reporting and Conformance: un registro DNS que dice a los servidores qué hacer con el correo que usa un dominio en «De» pero no pasa SPF ni DKIM. También pide informes, para que el dueño vea quién envía correo en nombre de su dominio.
¿Qué significan none, quarantine y reject?
«none» solo vigila: el correo se entrega como siempre y el dueño recibe informes. «quarantine» manda a spam el correo que falla. «reject» lo rechaza. Lo habitual es empezar con «none», leer los informes e ir subiendo hasta «reject».
Si un dominio tiene DMARC, ¿todo su correo es legítimo?
No. DMARC hace difícil usar ese dominio exacto en «De», pero un estafador puede registrar un dominio parecido con su propio DMARC. Revisa el dominio del remitente letra a letra, o pega las cabeceras en «¿Es real este email?».
¿Por qué dice que el registro es heredado?
Un subdominio sin registro propio (correo.ejemplo.com) usa el de su dominio superior (ejemplo.com), con la política de subdominios (sp) si la tiene.