Verificación DNS del correo
Todo lo que el DNS dice sobre dónde recibe correo un dominio y quién puede enviarlo en su nombre. Solo se lee el DNS público; no se contacta con ningún servidor de correo.
Las claves DKIM se publican bajo un selector elegido por el remitente; aparece como s= en el encabezado DKIM-Signature de un mensaje.
Ejemplos:unam.mxinegi.org.mxexample.com
Que el correo de un dominio llegue, y que se crea el correo que dice venir de él, depende casi por completo de unos cuantos registros DNS. Esta herramienta los lee todos de una vez.
Los registros MX indican los servidores que reciben el correo del dominio, en orden de preferencia (los números más bajos primero). Cada host MX debe tener a su vez un registro A o AAAA; la herramienta resuelve los cinco primeros. Un único MX 0 . es un MX nulo (RFC 7505): el dominio declara que no acepta correo.
SPF (RFC 7208) es un registro TXT que empieza con v=spf1 y enumera los servidores autorizados para enviar como el dominio: rangos de direcciones (ip4:, ip6:), listas de otros dominios (include:) y una regla final para todo lo demás, normalmente -all (fail) o ~all (softfail). Un dominio solo puede publicar un registro SPF, y evaluarlo puede requerir como máximo diez consultas DNS, contando cada include, a, mx, ptr, exists y redirect, incluidos los de los registros incluidos. Pasando de diez, los receptores devuelven un error permanente: así es como las listas largas de servicios en la nube rompen SPF sin que nadie lo note.
DMARC (RFC 7489), en _dmarc.<dominio>, dice a los receptores qué hacer con el correo que falla la alineación de SPF y de DKIM — nada (p=none), mandarlo a spam (quarantine) o rechazarlo (reject) — y a dónde enviar los informes agregados (rua=). Lo habitual es empezar con p=none y leer los informes antes de endurecer la política.
MTA-STS (RFC 8461) y los informes TLS (RFC 8460) piden a los servidores que envían que exijan TLS y reporten fallas. El registro DNS solo anuncia que existe una política; la política es un archivo en mta-sts.<dominio> que esta herramienta no descarga.
Las claves DKIM están en <selector>._domainkey.<dominio>. El selector lo elige quien firma el correo, así que no se puede descubrir desde el DNS: búscalo como s= en el encabezado DKIM-Signature de un mensaje recibido y escríbelo arriba.
Todo sale del DNS público a través de nuestro resolutor. No se establece ninguna conexión con los servidores de correo del dominio.
Preguntas frecuentes
¿Por qué la herramienta no encuentra mi clave DKIM?
Las claves DKIM se buscan por selector, y los selectores no se pueden listar desde el DNS. Copia el valor s= del encabezado DKIM-Signature de un mensaje enviado por el dominio y escríbelo como selector.
¿Qué es mejor, ~all o -all?
-all pide a los receptores rechazar el correo de servidores no listados; ~all lo marca como sospechoso. Cuando DMARC ya está en modo de aplicación, los receptores actúan según la política DMARC de todos modos, por eso muchos dominios mantienen ~all para no perder correo reenviado.
¿Un buen resultado significa que mi correo va a llegar?
No. Estos registros son necesarios, no suficientes: la entrega también depende de la reputación del servidor que envía, de su DNS inverso, del contenido y de los filtros del destinatario.
¿Puedo revisar un dominio .co.il?
Sí. Los registros son DNS normal y funcionan igual bajo .il, .co.il, .org.il o cualquier otro dominio.