Cómo auditar todos los dominios de tu empresa (DMARC, CNAME y redirecciones)

Pasa todos los dominios de tu empresa por tres comprobaciones: DMARC, CNAME y redirecciones. Los dominios de reserva, los dominios con erratas, los sitios de campañas antiguas y las marcas adquiridas son donde se esconden la suplantación, los registros colgantes y las redirecciones rotas, porque nadie los mira. El comprobador masivo de DMARC, la consulta masiva de CNAME y el comprobador masivo de redirecciones aceptan cada uno la lista entera de una vez.

Empieza por el DMARC de cada dominio →

Haz las tres comprobaciones

1. Haz la lista. La lista de dominios de tu cuenta del registrador es la fuente de referencia; añade los dominios que tengas en otros registradores o que gestionen otros equipos.
2. DMARC. Pega los dominios en el comprobador masivo de DMARC y pulsa Check DMARC (comprobar DMARC). Filtra por No DMARC y Monitoring only.
3. CNAME. Exporta los nombres de host de cada zona, pégalos en la consulta masiva de CNAME y pulsa Look up CNAMEs (consultar CNAME). Filtra por Dangling y Doesn't exist.
4. Redirecciones. Pega cada dominio como http://domain en el comprobador masivo de redirecciones y pulsa Check redirects (comprobar redirecciones). Filtra por Broken, Loop y las cadenas largas.

Cada herramienta acepta hasta 100 líneas por ejecución, o 500 tras iniciar sesión gratis con Google, y descarga un CSV.

Hazlo a mano

Un solo bucle para DMARC, MX, SPF y dónde termina el sitio web:

printf "fb.com\ninstagr.am\nwikipedia.com\n" > portfolio.txt

while read -r d; do
  p=$(dig +short txt "_dmarc.$d" | tr -d '"' | grep '^v=DMARC1' | sed -n 's/.*[; ]p=\([a-z]*\).*/\1/p')
  mx=$(dig +short mx "$d" | sort -n | head -1)
  spf=$(dig +short txt "$d" | grep -o 'v=spf1[^"]*' | head -1 | cut -c1-20)
  web=$(curl -s -o /dev/null -m 10 -L -w '%{num_redirects} hops,%{http_code},%{url_effective}' "http://$d")
  echo "$d | dmarc=${p:-NONE} | mx=${mx:-none} | spf=${spf:-none} | $web"
done < portfolio.txt
# fb.com | dmarc=reject | mx=10 mxa-00082601.gslb.pphosted.com. | spf=v=spf1 redirect=_spf | 2 hops,200,https://www.facebook.com/
# instagr.am | dmarc=reject | mx=1 ASPMX.L.GOOGLE.COM. | spf=v=spf1 include:spf.m | 2 hops,200,https://www.instagram.com/
# wikipedia.com | dmarc=NONE | mx=none | spf=v=spf1 -all | 2 hops,200,https://www.wikipedia.org/

Lo ejecutamos el 9 de noviembre de 2026 sobre tres dominios públicos cortos o alternativos. El cut mantiene corta la columna de SPF; quítalo para ver el registro completo. Para la parte de los CNAME, usa el bucle de encontrar CNAME colgantes.

La tercera fila es el típico dominio de reserva: sin MX y con un registro SPF que no permite ningún remitente, pero sin registro DMARC, así que nada pide a los receptores que rechacen el correo que lo suplanta.

Cómo debe estar cada dominio de reserva

• No envía correo: un registro SPF v=spf1 -all y un registro DMARC con p=reject. Sin correo legítimo que romper, no hay motivo para empezar en none. Consulta los ejemplos de registros DMARC para el registro de un dominio aparcado.
• No recibe correo: un MX nulo. La RFC 7505 lo define como un único registro MX con preferencia 0 y destino ., lo que indica a los remitentes que el dominio no acepta correo. Consulta los registros MX nulos.
• Subdominios inventados: la RFC 9989, el estándar DMARC desde mayo de 2026, añade np= para los subdominios que no existen. Sin él, se les aplica sp= o p=.
• Sitio web: uno o dos saltos permanentes hacia una página activa. Un dominio de reserva que responde con la página de parking de un registrador o con un error parece abandonado; consulta qué es un dominio aparcado.
• Ningún CNAME colgante. Elimina los registros de los servicios que ya no usas. La página de MDN sobre el secuestro de subdominios recomienda mantener "an inventory of all of your organization's domains and their hosting providers" (un inventario de todos los dominios de tu organización y sus proveedores de hosting) para que nada quede colgando. La lista de dominios que acabas de hacer es ese inventario.

Siguiente paso: comprueba los dominios desde los que envías de verdad

Los dominios de reserva hay que blindarlos; los dominios de envío necesitan listas limpias. Sube la lista a la que envías en /verify para comprobar cada buzón sin enviar nada. Las primeras 100 comprobaciones son gratis al iniciar sesión con Google, sin tarjeta.

Pro, $39 al mes: verificación de correos ilimitada.* Nunca medida, nunca se corta. Consulta los precios.

*Uso razonable: las primeras 100.000 verificaciones del mes a máxima velocidad, después más lento, nunca se corta.

Más para leer: comprobar el DMARC de todos los dominios de tus clientes, monitoriza tus dominios de envío.