Configuración de DMARC para validar el dominio De dirección para remitentes en la nube

La autenticación de mensajes basada en dominio, informes y conformidad (DMARC) es un método de autenticación por correo electrónico para validar el correo enviado desde la organización de Microsoft 365. Esta validación ayuda a evitar los remitentes suplantados que se usan en el riesgo de correo electrónico empresarial (BEC), ransomware y otros ataques de phishing.

Para habilitar DMARC para un dominio, cree un registro TXT en DNS. La validación de DMARC de un mensaje de correo electrónico implica los siguientes elementos:

• Compruebe que los dominios de las direcciones MAIL FROM y FROM se alinean: SPF y DKIM no requieren que los dominios de las siguientes direcciones de correo electrónico se "alineen" (coincidan):

  • La dirección MAIL FROM: la dirección de correo electrónico utilizada en la transmisión del mensaje entre los servidores de correo electrónico SMTP. Esta dirección también se conoce como dirección 5321.MailFrom , remitente P1 o remitente de sobre.
  • Dirección de origen: la dirección de correo electrónico del campo De encabezado que se muestra como remitente del mensaje en los clientes de correo electrónico. Esta dirección también se conoce como remitente de dirección 5322.From o P2.

  Para obtener más información sobre cómo estas direcciones de correo electrónico pueden estar en dominios diferentes y usarse para la suplantación de identidad, consulte Por qué el correo electrónico de Internet necesita autenticación.

  • DMARC usa el resultado de SPF para comprobar las dos condiciones siguientes:

    • El mensaje procede de un origen autorizado para el dominio usado en la dirección MAIL FROM (requisito básico de SPF).
    • Los dominios de las direcciones MAIL FROM y From del mensaje están alineados. Este resultado requiere de forma eficaz que los orígenes válidos para el mensaje estén en el dominio De dirección.

  • DMARC usa el resultado de DKIM para comprobar que el dominio que firmó el mensaje (el valor d= en un campo de encabezado DKIM-Signature tal como lo valida el valor del selector s= ) se alinea con el dominio de la dirección Desde.

  Un mensaje pasa DMARC si se superan una o ambas comprobaciones de SPF o DKIM descritas. Un mensaje produce un error en DMARC si se producen errores en las comprobaciones SPF y DKIM descritas.

• Directiva DMARC: especifica qué hacer con los mensajes que producen un error en DMARC (rechazo, cuarentena o ninguna instrucción).

• Informes de DMARC: especifica dónde enviar informes:

  • Informes agregados (un resumen periódico de los resultados positivos y negativos de DMARC).
  • Informes forenses (también conocidos como informes de errores; resultados de errores casi inmediatos de DMARC similares a un informe de no entrega o mensaje de rebote).

Antes de empezar, esto es lo que necesita saber sobre DMARC en Microsoft 365 en función de su dominio de correo electrónico:

• Si usa solo el dominio de dirección de enrutamiento de Email (MOERA) de Microsoft Online para correo electrónico (por ejemplo, contoso.onmicrosoft.com): aunque SPF y DKIM ya están configurados para el dominio *.onmicrosoft.com, debe crear el registro TXT de DMARC para el dominio *.onmicrosoft.com en el Centro de administración de Microsoft 365. Para obtener instrucciones, consulte esta sección más adelante en este artículo. Para obtener más información sobre los dominios *.onmicrosoft.com, consulte ¿Por qué tengo un dominio "onmicrosoft.com"?

• Si usa uno o varios dominios personalizados para el correo electrónico (por ejemplo, contoso.com): si aún no lo ha hecho, debe configurar SPF para todos los dominios y subdominios personalizados que use para el correo electrónico. También debe configurar la firma DKIM mediante el dominio o subdominio personalizados para que el dominio que se usa para firmar el mensaje se alinee con el dominio en la dirección Desde. Para obtener instrucciones, consulte los artículos siguientes:

  • Configuración de SPF para identificar orígenes de correo electrónico válidos para los dominios de nube personalizados
  • Configuración de DKIM para firmar correo desde el dominio en la nube

  Después de eso, también debe configurar los registros TXT de DMARC para los dominios personalizados, como se describe en este artículo. También tiene las siguientes consideraciones:

  • Subdominios:

    • Para los servicios de correo electrónico que no están bajo su control directo (por ejemplo, servicios de correo electrónico masivos), use un subdominio (por ejemplo, marketing.contoso.com) en lugar de su dominio de correo electrónico principal (por ejemplo, contoso.com). No quiere que los problemas con el correo enviado desde esos servicios de correo electrónico afecten a la reputación del correo enviado por los usuarios en el dominio de correo electrónico principal. Para obtener más información sobre cómo agregar subdominios, consulte ¿Puedo agregar subdominios personalizados o varios dominios a Microsoft 365?.
    • A diferencia de SPF y DKIM, el registro TXT de DMARC para un dominio cubre automáticamente todos los subdominios (incluidos los subdominios inexistentes) que no tienen su propio registro TXT de DMARC. En otras palabras, puede interrumpir la herencia de DMARC en un subdominio mediante la creación de un registro TXT de DMARC en ese subdominio. Sin embargo, cada subdominio requiere un registro SPF y DKIM para DMARC.

  • Si posee dominios registrados pero no utilizados: si posee dominios registrados que no se usan para correo electrónico o nada (también conocidos como dominios estacionados), configure los registros TXT de DMARC en esos dominios para especificar que ningún correo electrónico debe proceder de esos dominios. Esta directiva incluye el dominio *.onmicrosoft.com si no lo usa para el correo electrónico.

• Las comprobaciones de DMARC para el correo entrante pueden necesitar ayuda: si usa un servicio de correo electrónico que modifica los mensajes en tránsito antes de la entrega a Microsoft 365, es posible que pueda identificar el servicio como un sellador de ARC de confianza. Los selladores de ARC de confianza impiden que los mensajes modificados no se realicen automáticamente las comprobaciones de DMARC. Para obtener más información, consulte la sección Pasos siguientes al final de este artículo.

El resto de este artículo trata la creación de registros TXT de DMARC, la implementación gradual de dominios personalizados y el control de DMARC de entrada en Microsoft 365.

Sintaxis de los registros TXT de DMARC

Los registros TXT de DMARC se describen exhaustivamente en RFC 7489.

La sintaxis básica del registro TXT de DMARC para un dominio en Microsoft 365 es:

Nombre de host: _dmarc
Valor TXT: v=DMARC1; <DMARC policy>; <Percentage of DMARC failed mail subject to DMARC policy>; <DMARC reports>

Otra posibilidad:

Nombre de host: _dmarc
Valor TXT: v=DMARC1; p=<reject | quarantine | none>; pct=<0-100>; rua=mailto:<DMARCAggregateReportURI>; ruf=mailto:<DMARCForensicReportURI>

Por ejemplo:

Nombre de host: _dmarc
Valor TXT: v=DMARC1; p=reject; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]

• Se requiere el valor _dmarc del nombre de host.

• v=DMARC1; identifica el registro TXT como un registro TXT de DMARC.

• Directiva DMARC: indica al sistema de correo electrónico de destino qué hacer con los mensajes que producen un error en DMARC, como se describió anteriormente en este artículo:

  • p=reject: se deben rechazar los mensajes. Lo que realmente sucede con el mensaje depende del sistema de correo electrónico de destino, pero los mensajes suelen descartarse.
  • p=quarantine: los mensajes se deben aceptar pero marcar. Lo que realmente sucede con el mensaje depende del sistema de correo electrónico de destino. Por ejemplo, es posible que el mensaje se ponga en cuarentena como correo no deseado, se entregue en la carpeta de Email no deseado o se entregue en la Bandeja de entrada con un identificador agregado al cuerpo del asunto o del mensaje.
  • p=none: no hay ninguna acción sugerida para los mensajes que producen un error en DMARC. Lo que sucede con el mensaje depende de las características de protección de correo electrónico en el sistema de correo electrónico de destino. Este valor se usa para probar y ajustar la directiva DMARC , como se describe más adelante en este artículo.

  Sugerencia

  El correo saliente de los dominios de Microsoft 365 que no cumplen las comprobaciones de DMARC por el servicio de correo electrónico de destino se enruta a través del grupo de entrega de alto riesgo para los mensajes salientes si la directiva DMARC para el dominio es p=reject o p=quarantine. No hay ninguna invalidación para este comportamiento.

• Porcentaje de correo DMARC con errores sujeto a la directiva DMARC: indica al sistema de correo electrónico de destino cuántos mensajes que no son dmarc (porcentaje) reciben la directiva DMARC aplicada a ellos. Por ejemplo, pct=100 significa que todos los mensajes que producen un error en DMARC obtienen la directiva DMARC aplicada a ellos. Use valores inferiores a 100 para probar y ajustar la directiva DMARC , como se describe más adelante en este artículo. Si no usa pct=, el valor predeterminado es pct=100.

• Informes de DMARC:

  • URI de informe agregado de DMARC: el rua=mailto: valor identifica dónde enviar el informe agregado de DMARC. El informe Agregado tiene las siguientes propiedades:

    • Los mensajes de correo electrónico que contienen el informe agregado se suelen enviar una vez al día (el informe contiene los resultados de DMARC del día anterior). La línea Asunto contiene el dominio de destino que envió el informe (Submitter) y el dominio de origen para los resultados de DMARC (dominio de informe).
    • Los datos DMARC están en un archivo adjunto de correo electrónico XML que probablemente esté comprimido con GZIP. El esquema XML se define en el apéndice C de RFC 7489. El informe contiene la siguiente información:
      • Las direcciones IP de los servidores o servicios que envían correo mediante el dominio.
      • Si los servidores o servicios pasan o no la autenticación DMARC.
      • Las acciones que DMARC realiza en el correo que produce un error en la autenticación dmarc (basada en la directiva dmarc).

    Sugerencia

    La información del informe agregado puede ser vasta y difícil de analizar. Para ayudar a entender los datos, puede usar las siguientes opciones para los informes de DMARC:

    • Cree automatización mediante PowerShell o Microsoft Power BI.
    • Use un servicio externo. Para obtener una lista de servicios, busque DMARC en el catálogo de Asociación de seguridad inteligente de Microsoft (MISA) en https://www.microsoft.com/misapartnercatalog. Los servicios de informes de DMARC describen los valores personalizados necesarios en el registro TXT de DMARC.

  • URI del informe forense de DMARC: el ruf=mailto: valor identifica dónde enviar el informe forense de DMARC (también conocido como informe de errores de DMARC). El informe se genera y se envía inmediatamente después de un error de DMARC, como un informe de no entrega (también conocido como NDR o mensaje de rebote).

  Sugerencia

  Debe revisar periódicamente los informes agregados de DMARC para supervisar de dónde procede el correo electrónico de sus dominios y para comprobar si hay errores de DMARC involuntarios (falsos positivos).

  Los sistemas de correo electrónico de destino individuales son responsables de enviarle informes de DMARC. La cantidad y variedad de informes de DMARC varían de la misma manera que el volumen y la variedad de correo enviado desde su organización varía. Por ejemplo, espere un menor volumen de correo durante los días festivos y un mayor volumen de correo durante los eventos de la organización. Es mejor designar personas específicas para supervisar los informes de DMARC y usar un buzón específico o un grupo de Microsoft 365 para recibir los informes de DMARC (no entregar los informes al buzón de un usuario).

Para obtener más información sobre DMARC, use los siguientes recursos:

• La serie de entrenamiento DMARC de M³AAWG (mensajería, malware, grupo de trabajo contra el abuso móvil).
• Información en DMARC.org.

Use el Centro de administración de Microsoft 365 para agregar registros TXT de DMARC para dominios *.onmicrosoft.com en Microsoft 365

1. En el Centro de administración de Microsoft 365 en https://admin.microsoft.com, seleccione Mostrar todos los>dominiosde configuración>. O bien, para ir directamente a la página Dominios , use https://admin.microsoft.com/Adminportal/Home#/Domains.

2. En la página Dominios , seleccione el dominio *.onmicrosoft.com de la lista haciendo clic en cualquier lugar de la fila que no sea la casilla situada junto al nombre de dominio.

3. En la página de detalles del dominio que se abre, seleccione la pestaña Registros DNS .

4. En la pestaña Registros DNS , seleccione Agregar registro.

5. En el control flotante Agregar un registro DNS personalizado que se abre, configure los siguientes valores:

   • Tipo: compruebe que txt (texto) está seleccionado.

   • Nombre TXT: escriba _dmarc.

   • Valor TXT: escriba v=DMARC1; p=reject.

     Sugerencia

     Para especificar destinos para los informes dmarc aggregate y DMARC Forensic, use la sintaxis v=DMARC1; p=reject; rua=mailto:<emailaddress>; ruf=mailto:<emailaddress>. Por ejemplo, v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected].

     Los proveedores de informes de DMARC en el catálogo MISA en https://www.microsoft.com/misapartnercatalog facilitan la visualización e interpretación de los resultados de DMARC.

   • TTL: compruebe que se ha seleccionado 1 hora .

   Cuando haya terminado en el control flotante Agregar un registro DNS personalizado , seleccione Guardar.

Configuración de DMARC para dominios personalizados activos en Microsoft 365

Se recomienda un enfoque gradual para configurar DMARC para los dominios de Microsoft 365. El objetivo es llegar a una p=reject directiva DMARC para todos los dominios y subdominios personalizados, pero debe probar y comprobar a lo largo del camino para evitar que los sistemas de correo electrónico de destino rechacen el correo correcto debido a errores de DMARC no intencionados.

El plan de implementación de DMARC debe seguir estos pasos. Comience con un dominio o subdominio con un volumen de correo bajo o menos orígenes de correo electrónico potenciales (menos posibilidad de que se bloquee el correo legítimo de orígenes desconocidos):

1. Comience con una directiva DMARC de p=none y supervise los resultados del dominio. Por ejemplo:

   Registro TXT de DMARC para marketing.contoso.com:

   Nombre de host: _dmarc
   Valor TXT: v=DMARC1; p=none; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]

   Los informes forenses dmarc y agregados de DMARC proporcionan los números y orígenes de mensajes que pasan y conmutan por error las comprobaciones de DMARC. Puede ver cuánto tráfico de correo legítimo está cubierto o no por DMARC y solucionar cualquier problema. También puede ver cuántos mensajes fraudulentos se envían y desde dónde se envían.

2. Aumente la directiva DMARC a p=quarantine y supervise los resultados del dominio.

   Después de tiempo suficiente para supervisar los efectos de p=none, puede aumentar la directiva DMARC a p=quarantine para el dominio. Por ejemplo:

   Registro TXT de DMARC para marketing.contoso.com:

   Nombre de host: _dmarc
   Valor TXT: v=DMARC1; p=quarantine; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]

   También puede usar el pct= valor para afectar gradualmente a más mensajes y comprobar los resultados. Por ejemplo, puede desplazarse en los incrementos siguientes:

   • pct=10
   • pct=25
   • pct=50
   • pct=75
   • pct=100

3. Aumente la directiva DMARC a p=reject y supervise los resultados del dominio.

   Después de tiempo suficiente para supervisar los efectos de p=quarantine, puede aumentar la directiva DMARC a p=reject para el dominio. Por ejemplo:

   Registro TXT de DMARC para marketing.contoso.com:

   Nombre de host: _dmarc
   Valor TXT: v=DMARC1; p=reject; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]

   También puede usar el pct= valor para afectar gradualmente a más mensajes y comprobar los resultados.

4. Repita los tres pasos anteriores para los subdominios restantes de mayor volumen o complejidad, guardando el dominio primario por última vez.

   Sugerencia

   Bloquear el correo electrónico legítimo en cualquier volumen significativo es inaceptable para los usuarios, pero es casi inevitable que vaya a obtener algunos falsos positivos. Vaya despacio y metódicamente a tratar los problemas que se revelan en los informes de DMARC. Los proveedores de informes de DMARC en el catálogo MISA en https://www.microsoft.com/misapartnercatalog facilitan la visualización e interpretación de los resultados de DMARC.

5. Como se describió anteriormente, los subdominios heredan la configuración del registro TXT de DMARC del dominio primario, que puede invalidar con un registro TXT de DMARC independiente en el subdominio. Cuando haya terminado de configurar DMARC en un dominio y todos los subdominios, y la configuración de DMARC sea efectivamente idéntica para el dominio primario y todos los subdominios, puede eliminar los registros TXT de DMARC en los subdominios y confiar en el único registro TXT de DMARC en el dominio primario.

Registros TXT de DMARC para dominios estacionados en Microsoft 365

1. Si ha registrado dominios de los que nadie en Internet debe esperar recibir correo, cree el siguiente registro TXT de DMARC en el registrador de dominios del dominio:

   Nombre de host: _dmarc
   Valor TXT: v=DMARC1; p=reject;

   • El pct= valor no se incluye, porque el valor predeterminado es pct=100.
   • Es rua=mailto: posible que los valores y ruf=mailto: no sean necesarios en este escenario, ya que ningún correo válido debe provenir de remitentes del dominio.

2. Si no usa el dominio *.onmicrosoft.com para enviar correo, también debe agregar el registro TXT de DMARC para el dominio *.onmicrosoft.com.

DMARC para el correo entrante en Microsoft 365

• Las siguientes características de seguridad integradas para todos los buzones de correo en la nube afectan a las comprobaciones de DMARC en el correo entrante:

  • Si la inteligencia de suplantación de identidad está habilitada o deshabilitada en la directiva contra suplantación de identidad (phishing) que ha comprobado el mensaje. Deshabilitar la inteligencia de suplantación de identidad deshabilita la protección de suplantación implícita solo contra comprobaciones de autenticación compuesta .
  • Si la directiva de registro de Honor DMARC cuando se detecta el mensaje como configuración de suplantación de identidad está habilitada o deshabilitada en la directiva contra suplantación de identidad (phishing) que ha comprobado el mensaje y las acciones especificadas basadas en la directiva DMARC del dominio de origen (p=quarantineo p=reject en el registro TXT de DMARC).

  Para obtener información completa, consulte Protección contra suplantación de identidad y directivas DMARC de remitente.

  Para ver los valores predeterminados de esta configuración en las directivas contra phishing, compruebe los valores de configuración de la tabla en Configuración de directivas anti phishing para todos los buzones de correo en la nube.

• Microsoft 365 no envía informes forenses de DMARC (también conocidos como informes de errores de DMARC), incluso si existe una dirección válida ruf=mailto: en el registro TXT de DMARC del dominio de origen.

• Microsoft 365 envía informes agregados de DMARC a todos los dominios con una dirección válida rua=mailto: en los registros TXT de DMARC, siempre y cuando el registro MX del dominio de Microsoft 365 apunte directamente a Microsoft 365.

  Si enruta el correo de Internet a través de un servicio o dispositivo que no sea de Microsoft antes de su entrega a Microsoft 365 (los puntos de registro MX en algún lugar distinto de Microsoft 365), no se enviarán los informes agregados de DMARC. Esta limitación incluye escenarios híbridos en los que el correo se entrega al entorno local antes de enrutarse a Microsoft 365 mediante un conector.

  Sugerencia

  Cuando un servicio o dispositivo que no es de Microsoft se encuentra delante del correo que fluye a Microsoft 365, el filtrado mejorado para conectores (también conocido como lista de omitir) identifica correctamente el origen de los mensajes de Internet para SPF, DKIM (si el servicio modifica los mensajes) y la validación de DMARC.

Solución de problemas de DMARC

Para obtener una tabla de referencia rápida de errores, causas y correcciones de DMARC, consulte Solución de problemas de autenticación de correo electrónico en Microsoft 365.

Esta sección le ayuda a diagnosticar y resolver errores comunes de DMARC, a comprender cómo actúa Microsoft 365 en diferentes directivas de DMARC e interpretar informes forenses y agregados de DMARC.

Diagnóstico de errores de alineación

Como se describe en la introducción a la validación de DMARC, un mensaje pasa DMARC si al menos una comprobación de alineación se realiza correctamente (SPF o DKIM). Un mensaje produce un error en DMARC solo si se producen errores en ambas comprobaciones de alineación.

Modos de alineación

Las aspf etiquetas (SPF) y adkim (DKIM) del registro TXT de DMARC controlan la estricta coincidencia del dominio From con el dominio autenticado. Ambos son opcionales y el valor predeterminado r es (relajado), pero s (estricto) también está disponible. Por ejemplo:

Hostname: _dmarc
TXT value: v=DMARC1; p=reject; aspf=s; adkim=r; pct=100; rua=mailto:[email protected]

• Relajado (rvalor predeterminado): los dominios organizativos (dominios raíz) deben coincidir. Se permiten subdominios.
• Strict (s): los FQDN deben coincidir exactamente. No hay coincidencia de subdominios.

Ejemplos:

Escenarios comunes de error de alineación

Diagnóstico de errores de alineación a partir de encabezados de mensaje

Paso 1: Abra los encabezados del mensaje y busque el encabezado Authentication-Results de Microsoft 365:

Authentication-Results: spf=pass (sender IP is 198.51.100.10)
  smtp.mailfrom=bounces.adatum.com; dkim=pass (signature was verified)
  header.d=adatum.com; dmarc=fail action=oreject
  header.from=contoso.com;compauth=fail reason=000

Paso 2: Identificar el error de alineación:

Paso 3: Determine la corrección respondiendo a las siguientes preguntas:

1. ¿Puede cambiar la dirección MAIL FROM a su dominio (por ejemplo, bounces.contoso.com en lugar de bounces.adatum.com)?
   • Sí: configure el cambio MAIL FROM en el servicio para corregir la alineación de SPF.
   • No: use la alineación DKIM en su lugar (vaya al paso 2).
2. ¿Puede el servicio firmar con el dominio (d=contoso.com)?
   • Sí: configure la firma DKIM personalizada en el servicio.
   • No: considere la posibilidad de usar una estrategia de subdominio:
     • Enviar desde un subdominio (por ejemplo, sub.contoso.com).
     • Publique un registro DMARC independiente para ese subdominio.
     • Tenga el signo de servicio DKIM con d=sub.contoso.com.

Comprobación de la alineación de mensajes recientes en PowerShell

Conéctese a Exchange Online PowerShell y ejecute los siguientes comandos:

# Get recent messages and check authentication results
$messages = Get-MessageTrace -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) -PageSize 100

foreach ($msg in $messages) {
    $details = Get-MessageTraceDetail -MessageTraceId $msg.MessageTraceId -RecipientAddress $msg.RecipientAddress
    $authEvent = $details | Where-Object { $_.Event -eq "Receive" }
    if ($authEvent.Detail -match "dmarc=fail") {
        Write-Output "DMARC FAIL: From=$($msg.SenderAddress), Subject=$($msg.Subject)"
    }
}

Efecto de la directiva DMARC en el comportamiento de Microsoft 365

Como se describe en DMARC para el correo entrante, el comportamiento de Microsoft 365 depende de la configuración de directiva de registro DE DMARC de honor . Para obtener detalles completos, consulte Protección contra suplantación de identidad y directivas DMARC del remitente.

En el siguiente resumen se muestra el comportamiento general de los mensajes entrantes que producen un error en DMARC cuando la directiva de registro de DMARC de honor está activada (se recomienda):

Valores de acción de DMARC en Authentication-Results

En el encabezado Authentication-Results , es posible que vea estos valores de acción DMARC:

Interpretación del informe DMARC

Esta sección le ayuda a interpretar los informes forenses y agregados de DMARC que los receptores envían a rua las direcciones y ruf .

Informes agregados

En el ejemplo siguiente se muestra la estructura XML de un informe agregado:

<?xml version="1.0" encoding="UTF-8"?>
<feedback>
  <report_metadata>
    <org_name>microsoft.com</org_name>           <!-- Reporting organization -->
    <email>[email protected]</email>
    <report_id>unique-report-id</report_id>
    <date_range>
      <begin>1700000000</begin>                   <!-- Unix timestamp: start -->
      <end>1700086400</end>                       <!-- Unix timestamp: end -->
    </date_range>
  </report_metadata>

  <policy_published>
    <domain>contoso.com</domain>                  <!-- Your domain -->
    <adkim>r</adkim>                              <!-- DKIM alignment mode -->
    <aspf>r</aspf>                                <!-- SPF alignment mode -->
    <p>reject</p>                                 <!-- Domain policy -->
    <sp>quarantine</sp>                           <!-- Subdomain policy -->
    <pct>100</pct>                                <!-- Percentage -->
  </policy_published>

  <record>
    <row>
      <source_ip>198.51.100.10</source_ip>        <!-- Sending IP -->
      <count>1523</count>                         <!-- Number of messages -->
      <policy_evaluated>
        <disposition>none</disposition>           <!-- What receiver did -->
        <dkim>pass</dkim>                         <!-- DKIM alignment result -->
        <spf>fail</spf>                           <!-- SPF alignment result -->
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>contoso.com</header_from>      <!-- From address domain -->
      <envelope_from>bounces.adatum.com</envelope_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>contoso.com</domain>
        <result>pass</result>
        <selector>selector1</selector>
      </dkim>
      <spf>
        <domain>bounces.adatum.com</domain>
        <result>pass</result>                     <!-- SPF passed but... -->
      </spf>
    </auth_results>
  </record>
</feedback>

Leer informes agregados

Correcciones y patrones de informes agregados comunes

Informes forenses

Como se indica en la sección DMARC para correo entrante , Microsoft 365 no envía informes forenses. Sin embargo, es posible que los reciba de otros proveedores. En la tabla siguiente se comparan los dos tipos de informe:

Estructura del informe forense (formato AFRF/RFC 6591):

From: [email protected]
To: [email protected]
Subject: Report Domain: contoso.com Submitter: fabrikam.com

Feedback-Type: auth-failure
User-Agent: fabrikam.com/dmarc-reporter
Version: 1
Original-Mail-From: [email protected]
Arrival-Date: Mon, 15 Jan 2024 10:30:00 -0000
Source-IP: 198.51.100.10
Authentication-Results: fabrikam.com; dmarc=fail (p=reject)
  header.from=contoso.com
Reported-Domain: contoso.com
Original-Envelope-Id: <[email protected]>

Procedimientos recomendados para informes de DMARC

Informes entre dominios

Si el DMARC rua o ruf la dirección están en un dominio diferente al dominio que se está supervisando, el dominio receptor debe publicar un registro TXT de DNS que autorice la entrega del informe:

Ejemplo: DMARC para contoso.com enviar informes a [email protected]

Registro DNS necesario en fabrikam.com:

Hostname: contoso.com._report._dmarc
Type: TXT
Value: v=DMARC1;

Sin este registro, los receptores no entregan informes DMARC a la dirección externa.

Referencia rápida de solución de problemas de DMARC

Flujo de trabajo de diagnóstico de DMARC

Siga estos pasos para diagnosticar un mensaje con dmarc=fail:

1. Identifique desde dominio: busque el header.from= valor en el encabezado Authentication-Results .

2. Comprobación de la alineación de SPF: ¿el smtp.mailfrom= dominio coincide con el header.from= dominio?

   • Sí (mismo dominio organizativo con aspf=r): SPF está alineado.
   • No: se produce un error en la alineación SPF.
   • ¿Pasó SPF en absoluto (spf=pass frente spf=faila )? Si spf=failes , corrija SPF primero agregando el remitente al registro SPF.

3. Comprobar la alineación DKIM: ¿el header.d= valor de la DKIM-Signature coincide con el header.from= dominio?

   • Sí (mismo dominio organizativo con adkim=r): DKIM está alineado.
   • No: se produce un error en la alineación DKIM.
   • ¿DKIM pasó en absoluto (dkim=pass frente dkim=faila )? Si dkim=failes , corrija DKIM publicando la clave y comprobando la firma.

4. Si se produce un error en ambas alineaciones, se produce un error en DMARC. Opciones de resolución:

   • Corrección de la alineación de SPF: cambie la dirección MAIL FROM a su dominio.
   • Corrección de la alineación de DKIM: inicie sesión con d=contoso.com.
   • Usar un subdominio: enviar desde sub.domain.com con su propio registro DMARC.
   • Si se reenvía el mensaje: configure un sellador arc de confianza.

5. Compruebe la acción de directiva:

   • p=none: no hay ningún efecto en la entrega (solo monitor).
   • p=quarantine: el mensaje va a Email no deseado (si la directiva de Honor DMARC está activada).
   • p=reject: se rechaza el mensaje (si la directiva de Honor DMARC está activada). Si se rechaza el correo legítimo, use ARC, una lista de permitidos o corrija la autenticación en el origen.

Comandos útiles de PowerShell para la solución de problemas de DMARC

Conéctese a Exchange Online PowerShell y ejecute los siguientes comandos:

# Check your organization's anti-phishing policy DMARC settings
Get-AntiPhishPolicy | Format-List Name, HonorDmarcPolicy, DmarcQuarantineAction, DmarcRejectAction

# Verify DMARC record for a domain
Resolve-DnsName -Name "_dmarc.contoso.com" -Type TXT | Select-Object -ExpandProperty Strings

# Check DKIM configuration (alignment prerequisite)
Get-DkimSigningConfig | Format-List Domain, Enabled, Selector1CNAME, Selector2CNAME

# Review messages that failed DMARC in the last 24 hours
Get-MailDetailSpamReport -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) |
  Where-Object { $_.MessageTraceId } |
  Select-Object Date, SenderAddress, RecipientAddress, Subject, SpamScore

# Check ARC configuration (for forwarding scenarios)
Get-ArcConfig | Format-List ArcTrustedSealers

# View anti-phishing policy DMARC override actions
Get-AntiPhishPolicy -Identity "Office365 AntiPhish Default" |
  Select-Object HonorDmarcPolicy, DmarcQuarantineAction, DmarcRejectAction

Pasos siguientes

Para el correo que entra en Microsoft 365, es posible que también tenga que configurar selladores de ARC de confianza si usa servicios que modifican los mensajes en tránsito antes de la entrega a su organización. Para obtener más información, consulte Configuración de selladores arc de confianza.

Para diagnosticar y corregir errores de autenticación por correo electrónico, consulte Solución de problemas de autenticación de correo electrónico en Microsoft 365.