Excepciones y usos del atributo 'sp' en DMARC

El atributo 'sp' es la abreviatura de política de subdominio y actualmente no es un atributo ampliamente utilizado. Permite que un dominio especifique que se debe utilizar un registro DMARC diferente para los subdominios del dominio DNS especificado.

Para mantener las cosas simples, se recomienda omitir el atributo 'sp' del dominio organizacional en sí mismo. Esto llevará a una política predeterminada de respaldo que previene el spoofing en los subdominios. Es importante recordar que el comportamiento de los subdominios siempre está determinado por la política organizacional predominante.

Los subdominios heredan la política del dominio padre a menos que sea anulada explícitamente por un registro de política de subdominio. El atributo 'sp' puede anular esta herencia.

Si un subdominio tiene un registro DMARC explícito, este registro tendrá prioridad sobre la política DMARC para el dominio padre, incluso si el subdominio utiliza la configuración predeterminada de p=none. Por ejemplo, si se define una política DMARC para prioridad 'todo', el elemento 'sp' influirá en el procesamiento de DMARC en subdominios no cubiertos por ninguna política específica.

¿Por qué necesitas el atributo 'sp' en DMARC? 

Si tienes tu registro DMARC como: 

v=DMARC1; p=reject; sp=none; [email protected]

En este caso, mientras tu dominio raíz está protegido contra ataques de suplantación, tus subdominios, incluso si no los utilizas para intercambiar información, seguirían siendo vulnerables a ataques de impersonación.

Si tienes tu registro DMARC como: 

v=DMARC1; p=none; sp=reject; [email protected]

En este caso, aunque no te comprometes con una política de rechazo en el dominio raíz que utilizas para enviar tus correos electrónicos, tus subdominios inactivos estarían protegidos contra la impersonación.

Si deseas que las políticas de tu dominio y subdominio sean las mismas, puedes dejar el criterio del atributo 'sp' en blanco o deshabilitado al crear un registro, y tus subdominios heredarán automáticamente la política impuesta en el dominio principal.

En caso de que estés utilizando una herramienta generadora de registros DMARC para crear un registro DMARC para tu dominio, necesitarás habilitar manualmente el botón de política de subdominio y definir la política deseada, como se muestra a continuación: