Skip to content
App

Todos los artículos

Auditoría de servidor de correo

La auditoría comprueba la configuración pública de correo de un dominio (DNS y SMTP) desde fuera. No entra en el buzón. Créela en Facilities → Audit.

La auditoría es gratuita. Los extras de pago usan Cart y Checkout.

Antes de empezar

  1. Cree un facility domain (FQDN) y uno server.
  2. Cree un email server que enlace ambos y ponga DKIM selector (p. ej. google o s1). Sin selector, DKIM se omite y puntúa 0 como aviso.
  3. New audit, elija ese email server.

Ejecutar comprobaciones

En la página de auditoría: Run all checks, o DNS en una tarjeta y SMTP STARTTLS en otra. La lista de auditorías lanza todas igual.

Estados:

  • PASS — la comprobación pasó
  • FAIL — problema en DNS o SMTP (rojo)
  • ERROR — no terminó (timeout, rechazo); reintente (amarillo)

Puntuación

El total aparece cuando las once comprobaciones tienen resultado (DKIM sin selector sigue siendo 0 / aviso). Los pesos suman 100:

CheckWeight
MX15
SPF12
DKIM12
DMARC12
MX hosts10
PTR10
SMTP10
DNS block lists10
MTA-STS4
BIMI3
TLS-RPT2

100 es verde. Por debajo de 100, amarillo si solo hay avisos, rojo si hay FAIL. Un guion: no se han ejecutado todas.

MX records (mx)

Consulta MX del dominio por preferencia. Sin MX es FAIL. Prioridad 0 y exchange . es null MX (no acepta correo) y FAIL.

Corrección: publique MX a hosts que reciban correo, o un null MX si el dominio no debe aceptar correo (esta auditoría sigue fallando).

MX hosts (mx-hosts)

Cada nombre MX debe tener A o AAAA y no ser CNAME. AAAA puede faltar. Null MX FAIL.

Corrección: MX a un hostname con A/AAAA propios, no CNAME.

PTR (ptr)

Cada dirección MX debe tener PTR que resuelva de vuelta a la misma dirección. Un PTR distinto del hostname MX se anota y sigue PASS.

Corrección: pida PTR al dueño de la IP, luego A/AAAA de ese nombre a la IP.

SMTP STARTTLS (smtp)

TCP 25 a cada MX: banner 220, EHLO, STARTTLS, certificado del nombre MX, vigente, TLS 1.2 o 1.3. Rechazo o timeout es ERROR.

Corrección: escuchar en 25, STARTTLS, certificado del hostname MX.

DNS block lists (dnsbl)

IPv4/IPv6 de cada MX: zen.spamhaus.org, bl.spamcop.net, psbl.surriel.com. Dominio y nombres MX: dbl.spamhaus.org. Solo un listing confirmado es FAIL. Errores de conexión ERROR.

Corrección: revise el listing, detenga el abuso, página de removal de la lista.

SPF (spf)

Exactamente un TXT v=spf1. all al final, -all o ~all. Como máximo 10 DNS lookups. +all, ?all, falta all, ptr, dos registros o bucle redirect FAIL.

Corrección: un registro SPF, -all o ~all, includes bajo 10 lookups.

DKIM (dkim)

TXT en {selector}._domainkey.{domain} (sigue CNAME). Un registro, p= no vacío, sin t=y. RSA ≥ 2048; k=ed25519 PASS. p= vacío, modo test, RSA corto o registro ausente FAIL.

Corrección: selector en el email server, clave de producción.

DMARC (dmarc)

Un TXT v=DMARC1 en _dmarc.{domain}, p=quarantine o p=reject, pct omitido o 100. p=none o pct < 100 FAIL. rua=mailto: externo necesita {domain}._report._dmarc.{rua-domain}.

Corrección: quarantine o reject al 100 %, autorice rua externos.

MTA-STS (mta-sts)

TXT v=STSv1; id=... en _mta-sts.{domain}, luego HTTPS https://mta-sts.{domain}/.well-known/mta-sts.txt sin redirecciones. Modo enforce, max_age > 0, cada MX vivo coincide con un patrón mx (* es una etiqueta izquierda). testing / none FAIL.

Corrección: TXT y política HTTPS enforce con sus MX.

TLS-RPT (tls-rpt)

Un TXT v=TLSRPTv1 en _smtp._tls.{domain} con rua mailto: o https:.

Corrección: TXT de informes TLS con buzón o HTTPS que lea.

BIMI (bimi)

Un TXT v=BIMI1 en default._bimi.{domain} con HTTPS l=. DMARC quarantine o reject. URL del logo 200, image/svg+xml, sin redirección. a= (VMC) se guarda y no es obligatorio para PASS.

Corrección: SVG Tiny PS por HTTPS, DMARC en enforcement, luego el TXT BIMI.

Requisitos de los buzones

No son comprobaciones extra de Emperor; explican por qué importan SPF, DKIM, DMARC y PTR:

Artículos