Lista de comprobación: su correo electrónico en orden

Módulo 8: Mudanza y poner su dominio en orden · Tiempo de lectura: 13 minutos

Objetivo de aprendizaje: Después de esta lección podrá comprobar de principio a fin, con una lista de comprobación fija, el correo electrónico de su propio dominio, explicar el resultado y elaborar una lista de acciones en el orden correcto.

Conceptos clave: lista de comprobación, recepción (MX, servidor de correo, null MX), conexión (TLS, certificado, puertos 993/465/587), envío (SPF, DKIM, DMARC), el servidor de envío (PTR, FCrDNS, listas de bloqueo), entrega cifrada (MTA-STS, TLS-RPT, DANE), buzones y direcciones, seguridad, lista de acciones, mantenimiento periódico

¿Por qué un orden fijo?

A lo largo de este curso ha visto muchos elementos sueltos. En la práctica están todos encadenados: una política DMARC no sirve de nada si el SPF no es válido, y un registro SPF perfecto no ayuda si el MX apunta a un servidor que no existe. Por eso recorrerá la lista de comprobación de abajo hacia arriba en la cadena: primero si puede entrar correo, luego si conecta de forma segura, después si se puede confiar en su correo enviado, y solo entonces los detalles de ajuste fino.

El curso de DNS tiene en la lección 8.5 una lista de comprobación para todo el dominio (registro, servidores de nombres, sitio web). Esta lista de comprobación profundiza únicamente en el correo electrónico.

Para cada punto se indica: qué comprueba, cómo (con una herramienta o una consulta DNS) y cuándo está bien. En el ejercicio final el programa realiza las mismas comprobaciones automáticamente y coloca el resultado junto a lo que usted encontró.

Parte A: ¿puede entrar correo?

A1. Registros MX. Consulte MX <dominio>. Está bien si hay al menos un MX, y el host con el número más bajo tiene un registro A o AAAA. Un MX hacia un nombre sin dirección significa que el correo no llega.
Caso especial: 0 . es un null MX (RFC 7505). Eso significa "este dominio no recibe correo". Está bien para un dominio que nunca recibe correo, como example.com, y mal para su dominio de empresa.

A2. El servidor de correo responde. El primer host MX acepta conexiones en el puerto 25. Desde casa a menudo no puede probarlo usted mismo, porque muchos proveedores de internet bloquean el tráfico saliente por el puerto 25. Una herramienta en línea o el ejercicio final lo hace por usted. Está bien si el servidor da un saludo 220 y ofrece STARTTLS.

A3. Correo de prueba desde fuera. Envíe un correo desde una dirección ajena a su dominio. ¿Llega, y no en su carpeta de spam?

Parte B: ¿puede conectar de forma segura?

B1. IMAP en el puerto 993 con el nombre de servidor que usted usa en su programa de correo. Está bien si la conexión TLS funciona, el certificado es válido, el nombre del servidor figura en él y el certificado no caduca en los próximos 14 días.

B2. SMTP para enviar: puerto 465 (TLS directo) y/o 587 (STARTTLS). Está bien si al menos uno de los dos funciona con un certificado válido para el nombre del servidor, y el servidor solo ofrece iniciar sesión (AUTH) después de que la conexión esté cifrada.

Si obtiene un error aquí, compruebe primero si usa el nombre de servidor de su proveedor y no un mail.<dominio> propio sin certificado (lección 2.1 y error 9 en la lección 8.3).

Parte C: ¿se puede confiar en su correo enviado?

C1. SPF. Consulte TXT <dominio>. Está bien si:

• hay exactamente un registro con v=spf1;
• termina en ~all o -all (nunca +all ni ?all); para principiantes se recomienda ~all, y -all si está seguro de que todos los remitentes están incluidos;
• el recuento recursivo de consultas (include, a, mx, ptr, exists, redirect, también dentro de cada include) no supera 10, y como máximo 2 consultas vuelven vacías.

C2. DKIM. Por cada remitente (su servidor de correo, Microsoft 365, su servicio de newsletter, su tienda en línea) un selector. Lo encuentra en las cabeceras de un correo de ese remitente (s= y d= en la DKIM-Signature, lección 1.5). Consulte TXT <selector>._domainkey.<dominio> (eventualmente a través de un CNAME). Está bien si hay un p= no vacío, con una clave de 2048 bits o más para RSA (o una clave ed25519).

C3. DMARC. Consulte TXT _dmarc.<dominio>. Está bien si hay exactamente un registro con v=DMARC1, con un p= válido (none, quarantine o reject) y una dirección de informes (rua=mailto:...). La recomendación: empiece con p=none y lea los informes; solo cuando todos los remitentes estén alineados, pase a quarantine y después a reject (lección 4.4). p=none sin dirección de informes es una oportunidad perdida: entonces no ve nada.

C4. Alineación en la práctica. Envíe un correo desde cada remitente a una dirección propia de Gmail u Outlook.com y lea Authentication-Results: ¿dmarc=pass?

Parte D: el servidor de envío

D1. DNS inverso. Busque en las cabeceras de un correo que usted mismo envió la dirección IP del servidor que entregó el correo al exterior (la línea Received más inferior que proviene de fuera de su propio dispositivo, lección 1.5). Consulte el PTR (dig -x <ip>). Está bien si hay un nombre, y ese nombre apunta de vuelta a la misma IP (FCrDNS, lección 5.1). Los servidores MX de su dominio también deben tener un PTR correcto.

D2. Listas de bloqueo. Haga comprobar esa IP de envío (y la IP de su MX) en las listas de bloqueo conocidas. Está bien si no aparece en ninguna. ¿Aparece? Primero encuentre y resuelva la causa, y solo después pida la exclusión (lección 5.2). En el alojamiento compartido esto es tarea de su proveedor: comunique la IP y el mensaje de error.

Parte E: ajuste fino (opcional)

E1. MTA-STS y TLS-RPT. TXT _mta-sts.<dominio> y TXT _smtp._tls.<dominio>. No es obligatorio. Si tiene MTA-STS, el archivo de política debe ser accesible en https://mta-sts.<dominio>/.well-known/mta-sts.txt y coincidir con su MX (lección 5.4).

E2. DANE. Solo si su dominio y el MX están firmados con DNSSEC: registros TLSA en _25._tcp.<mx-host>. Normalmente su proveedor de correo gestiona esto para su propio MX.

Parte F: buzones, direcciones y seguridad

Esto no lo puede comprobar ningún programa por usted, pero forma parte de la lista:

• F1. Sin catch-all; solo alias y redirecciones que usa conscientemente; ninguna redirección hacia Gmail u otras direcciones externas (lección 3.3).
• F2. Ningún buzón por encima del 80% de su cuota (lección 3.2).
• F3. Todos trabajan con IMAP, no POP3 en varios dispositivos (lección 1.3).
• F4. Contraseñas fuertes y únicas en un gestor de contraseñas; sin dispositivos antiguos con contraseñas antiguas; sin reglas de redirección desconocidas en los buzones (lección 3.4).
• F5. Los formularios del sitio web envían por SMTP con su propia dirección como From (lección 7.3); las newsletters a través de un servicio con su propio DKIM (lección 7.1).

Del resultado a la lista de acciones

Tras la comprobación tiene puntos verdes, naranjas y rojos. Resuélvalos en este orden:

1. Rojo en la parte A o B: el correo no llega o no puede conectar de forma segura. Resolver primero.
2. Rojo en la parte C: SPF no válido (dos registros, más de diez consultas), falta DKIM para un remitente, dos registros DMARC. Esto determina si su correo llega.
3. Rojo en la parte D: sin PTR o una entrada en lista de bloqueo. Normalmente es tarea de su proveedor.
4. Naranja: p=none sin informes, ?all, una clave de 1024 bits, un certificado que está a punto de caducar.
5. Parte E y F: mejoras y mantenimiento.

Después planifique el mantenimiento: repita la lista de comprobación cada trimestre, y siempre tras conectar un nuevo servicio o una mudanza. Lea mensualmente sus informes DMARC, o deje que un servicio de informes le avise si aparece una nueva fuente.

En la práctica: herramientas

Para las comprobaciones puede usar varias herramientas. En WebOké, por ejemplo, están la comprobación de correo gratuita y Salud del dominio (también para dominios que no están en WebOké); herramientas independientes como la prueba de correo de internet.nl y MXToolbox realizan comprobaciones similares. Ninguna herramienta lo ve todo: un selector DKIM casi siempre tiene que indicarlo usted mismo, y la IP de envío la obtiene de sus propias cabeceras.

Resumen

• Compruebe en el orden de la cadena: recepción, conexión, confianza, servidor de envío, ajuste fino, mantenimiento.
• Recepción: MX con host existente, null MX solo para dominios sin correo.
• Conexión: certificado válido en 993 y 465/587 para el nombre de servidor que usa.
• Confianza: un SPF dentro de diez consultas con ~all/-all, DKIM por remitente, un DMARC con rua, y alineación en la práctica.
• Servidor de envío: PTR con FCrDNS y sin listas de bloqueo. Elabore una lista de acciones por orden y repita la comprobación cada trimestre.

Cuestionario

Ejercicio

Ejercicio Z8.4: Examen final: su propio dominio. Introduzca su propio dominio (si no tiene uno, use internet.nl como ejemplo), el nombre de servidor que usa en su programa de correo, el o los selectores DKIM que encontró en sus cabeceras y la dirección IP de su servidor de envío. Rellene por cada punto, de la parte A a la E, lo que usted mismo encontró. El programa realiza cada comprobación parcial por sí mismo y coloca, junto a su respuesta, verde, naranja o rojo por punto, con un enlace a la lección. Después escriba su lista de acciones (máximo cinco puntos, en orden).

Ejercicio O8.4: Revisar la parte F. Responda a las cinco preguntas de la parte F para sus propios buzones y anote qué va a cambiar.

Para saber más

Los pasos de estos artículos son válidos para los paneles de WebOké; en otros proveedores funciona de forma similar.

• Manual de WebOké 5.17: Salud del dominio y el correo: comprobar y solucionar
• Manual de WebOké 6.7: La tarjeta Configurar el correo (MX, SPF, DKIM, DMARC)
• Lista de comprobación de Internet.nl
• La página web o el correo electrónico no funciona tras una migración o un cambio de DNS: compruebe su dominio
• Curso gratuito de DNS 8.5: Lista de verificación para su propio dominio
• Internet.nl, pruebe su correo electrónico: https://internet.nl/test-mail/