Registros DNS de correo: MX, SPF, DKIM y DMARC

El correo electrónico depende de varios registros DNS que cumplen funciones distintas. Los registros MX indican a los sistemas de correo remitentes dónde entregar los mensajes entrantes de un dominio. SPF publica en datos TXT una política sobre qué sistemas de envío están autorizados. DKIM usa una clave pública publicada en el DNS para que los destinatarios puedan verificar una firma criptográfica, y DMARC indica a los receptores cómo evaluar los mensajes que no superan la alineación y adónde pueden enviarse los informes. Estos mecanismos se complementan entre sí; un registro MX correcto no autentica el correo saliente, y un registro SPF válido no configura la entrega entrante.

El enrutamiento entrante empieza con MX

Un servidor de correo remitente consulta los registros MX del dominio del destinatario y recibe uno o varios nombres de host de intercambiadores de correo con valores de preferencia. Se prefieren los números de preferencia más bajos cuando hay varios destinos disponibles, aunque los sistemas de entrega pueden aplicar lógica de reintentos y disponibilidad. Los nombres de host de destino necesitan luego su propia resolución de direcciones. Si el dominio no tiene registro MX, el comportamiento del correo puede recurrir a otras reglas DNS, pero depender de ese recurso implícito suele ser menos claro que publicar la configuración prevista. Comprueba los valores MX con las instrucciones de configuración vigentes de tu proveedor de correo y verifica el dominio raíz exacto que se usa para el correo.

SPF se publica como un registro TXT en el dominio correspondiente y se evalúa frente al remitente que se conecta. Tiene límites de consultas y reglas de sintaxis, de modo que copiar varias cadenas SPF independientes en registros TXT separados puede provocar un permerror. Los registros DKIM suelen publicarse bajo nombres específicos de cada selector que proporciona el remitente, y la ausencia de un selector puede hacer que las firmas no se puedan verificar. DMARC usa un nombre bien conocido bajo _dmarc y puede empezar en un modo de supervisión antes de plantearse una política más estricta. Evita inventar valores: obténlos de cada plataforma de correo autorizada a enviar en nombre del dominio.

Por qué la autenticación del correo exige alineación

DMARC comprueba si el dominio visible del campo From de un mensaje se alinea con un dominio autenticado mediante SPF o DKIM, según el modo de alineación configurado. Eso ayuda a los receptores a distinguir el uso autorizado de un dominio de los mensajes que simplemente afirman proceder de él. Un dominio puede superar SPF pero no DMARC si el remitente del sobre autenticado no se alinea con el dominio visible de From, y una firma DKIM puede fallar si la clave publicada falta o es incorrecta. Las plataformas de correo suelen usar varios servicios de envío, así que conviene inventariar todos los orígenes legítimos antes de endurecer una política.

• Enumera todos los sistemas que envían correo del dominio antes de editar SPF.
• Publica los selectores DKIM que te dé el proveedor y verifica el nombre exacto del selector.
• Empieza los informes de DMARC con una política acorde con tu preparación para la supervisión.
• Revisa las prioridades MX y la resolución de direcciones de los destinos tras migrar de proveedor.
• Revisa los informes agregados e investiga los remitentes desconocidos antes de hacer cambios que apliquen la política.

Verifica los registros tras una migración

Cuando cambies de proveedor de correo, exporta la configuración DNS antigua y compara después los nuevos registros MX, SPF, DKIM y DMARC con la lista de comprobación de configuración del nuevo proveedor. Algunos proveedores exigen un registro TXT de verificación de dominio además de los registros de correo. Mantén autorizados los sistemas de envío antiguos solo mientras sigan enviando tráfico legítimo y elimina con cuidado la autorización obsoleta tras un periodo de supervisión. El almacenamiento en caché por TTL del DNS implica que no todos los receptores ven un cambio a la vez. Confirma las respuestas públicas y envía mensajes de prueba a sistemas de destinatarios representativos, pero recuerda que los resultados de entrega también dependen de la reputación, del contenido y del filtrado en el lado del destinatario.

Una consulta DNS puede mostrar si los registros son visibles públicamente; por sí sola no puede demostrar que un mensaje llegará a una bandeja de entrada. La guía de registros MX y la explicación de SPF, DKIM y DMARC cubren cada mecanismo por separado. Usa un comprobador de DNS para inspeccionar nombres y tipos concretos y valida después enviando mensajes de prueba controlados y revisando los registros del proveedor. Mantener separados el enrutamiento y la autenticación en tu lista de comprobación hace que los cambios de correo sean mucho más seguros.

Elabora un inventario antes de cambiar el DNS del correo

Muchas organizaciones tienen más de un remitente legítimo: un proveedor de buzones, una plataforma de marketing, un sistema de tickets, una aplicación de contabilidad y un servicio de supervisión pueden enviar todos como el mismo dominio. Crea un inventario con cada proveedor, dominio de envío, requisito de SPF, selector DKIM y responsable. Confirma si cada proveedor usa el dominio visible de From o un subdominio delegado. Este inventario es la base de una política DMARC segura, porque los informes suelen revelar sistemas que el administrador principal del correo no sabía que existían. Valida los proveedores con su documentación vigente y un mensaje de prueba real, y elimina los remitentes obsoletos solo después de que el equipo confirme que ya no se necesita su tráfico.