Auditar SPF, DKIM y DMARC desde Node.js con hallazgos priorizados
Realizar una auditoría de seguridad SPF, DKIM y DMARC desde Node.js, aplicar los selectores DKIM de la manera correcta y convertir las puntuaciones en un plan de corrección ordenado según su impacto real.
Objetivo: llamar a una función auxiliar de Node.js del lado del servidor que genere una puntuación numérica, pruebas relacionadas con los niveles de verificación y una lista ordenada de hallazgos sobre cómo el dominio público presenta su seguridad de correo.
No basta con verificar simplemente si existen tres registros TXT. Los operadores a menudo publican SPF pero omiten DMARC, firman con DKIM bajo un selector inesperado, o parecen estar “autenticados” en teoría pero descuidan controles de transporte como MTA-STS.
Por lo tanto, una auditoría útil recopila pruebas, clasifica las fallas confirmadas de manera distinta a las desconocidas y prioriza las reparaciones. La guía a continuación muestra cómo utilizar una API que abarca el enrutamiento, los registros de autenticación clásicos, la política de transporte, la generación de informes e indicadores de marca desde un cliente Node.js, y aclara qué aún no pueden demostrar esos resultados respecto a la ubicación del correo en el buzón.
Qué te indica cada verificación de seguridad de correo
Los primeros cuatro controles constituyen el núcleo de autenticación. Los controles posteriores mejoran la visibilidad del transporte, la aplicación de políticas y la señalización de marca.
Mantenga las funciones separadas: SPF autoriza al remitente del mensaje, DKIM valida la firma criptográfica de un mensaje y DMARC evalúa si la identidad autenticada coincide con la dirección que ve el destinatario. La mera existencia de un registro DNS no garantiza que todos los mensajes legítimos sean aceptados.
Auditar un dominio desde Node.js
Un punto de extremo para auditorías de seguridad y entregabilidad de correo en dominios alojados (publicado en el mercado RapidAPI) acepta solicitudes GET rápidas y envíos JSON. Copie la cadena de host en tiempo real del fragmento del mercado en lugar de codificar manualmente un nombre de host genérico.
const domain = "example.com"; const selectors = ["google", "selector1"]; const params = new URLSearchParams({ domain, dkim_selectors: selectors.join(","), }); const response = await fetch( `https://${process.env.RAPIDAPI_HOST}/api/v1/mail-security/audit?${params}`, { headers: { "x-rapidapi-key": process.env.RAPIDAPI_KEY, "x-rapidapi-host": process.env.RAPIDAPI_HOST, }, }, ); if (!response.ok) { const body = await response.text(); throw new Error(`Mail-security audit failed (${response.status}): ${body}`); } const audit = await response.json(); console.log({ domain: audit.domain, score: audit.score, summary: audit.summary, findings: audit.findings, });
Proteja las credenciales: almacene la clave de RapidAPI en una variable de entorno o en un gestor de secretos. Nunca la incluya en los archivos de código ni la envíe a través del JavaScript del navegador.
Las respuestas incluyen el dominio, el tiempo de respuesta, la puntuación y la calificación, las verificaciones individuales, un resumen y los hallazgos por prioridad; ofrecen suficiente estructura para paneles de control, procesos de onboarding, monitores programados y tickets de corrección.
Por qué DKIM requiere un manejo especial
SPF se encuentra en el dominio principal y DMARC en _dmarc.example.com. Los nombres DNS de DKIM incluyen un selector:
selector._domainkey.example.com
Los selectores son elegidos por el proveedor de envío o por el administrador de correo. DNS no proporciona un catálogo universal de todos los selectores en uso, por lo que un auditor no puede crear una lista completa.
Cuando se conozca al proveedor, incluya selectores plausibles en la solicitud: Google Workspace suele utilizar google; otras plataformas pueden usar selector1, selector2 o nombres con fecha de registro.
Si ningún selector probado funciona, indique unknown en lugar de fail, y considere la puntuación como provisional. Una falla grave de DKIM requiere evidencia de un mensaje firmado real o del selector que realmente configuró el remitente.
Convierta los hallazgos en un plan de reparación
Un dump DNS sin procesar no constituye un plan de solución. Realice la triage en el siguiente orden:
- Restaure primero la ruta de envío del correo. Los registros MX dañados o faltantes impiden la entrega normal.
- Repare la sintaxis y autorización de SPF. Mantenga un único registro SPF, elimine las inclusiones obsoletas y respete los límites de búsqueda.
Esa secuencia evita bloquear la política antes de haber identificado a todos los remitentes legítimos.
Utiliza la puntuación como señal, no como veredicto
Las puntuaciones ayudan a comparar dominios, seguir el progreso de la configuración y dar prioridad a los resultados débiles. No prueban la entrega en el buzón de entrada.
La ubicación también depende de la reputación, las quejas, los rechazos, el contenido, la cadencia, el nivel de interacción y la alineación por mensaje; ninguno de estos factores puede ser detectado mediante un DNS público ni una prueba MTA-STS HTTPS. La auditoría descrita aquí no abre sesiones SMTP, envía pruebas, lee consolas privadas de proveedores ni expande recursivamente cada inclusión SPF. Combine pruebas de configuración con encabezados, telemetría del proveedor y envíos controlados antes de realizar evaluaciones sobre la capacidad de entrega.
Maneras prácticas de utilizar el resultado
- Auditorías para agencias: establecer una línea de referencia reproducible antes de recomendar cambios.
- Onboarding en SaaS: advertir a los clientes cuando falta autenticación antes de que un dominio de envío se conecte.
- Selección de proveedores: identificar posturas de seguridad del correo débiles o incompletas.
Para los monitores, conserva tanto los identificadores de hallazgos estables como los datos brutos de las pruebas. Activa alertas cuando realmente cambie la situación, no cuando la puntuación varíe un punto.
Preguntas frecuentes sobre el comprobador de SPF, DKIM y DMARC
¿Qué prueba un comprobador de SPF, DKIM y DMARC?
Como mínimo, resuelve el DNS público para la autorización, las firmas y las políticas. Una verificación más completa también puede examinar el enrutamiento MX, MTA-STS, TLS-RPT y BIMI, y luego devolver las pruebas recopiladas junto con recomendaciones ordenadas.
¿Puede un comprobador encontrar automáticamente todos los registros DKIM?
No. Cada búsqueda requiere que el selector esté configurado por la pila de envío, y el árbol DNS público no enumera todos los selectores en uso. Pruebe los selectores que documente su proveedor o lea el encabezado DKIM-Signature de un mensaje que ya haya llegado.
¿Garantiza el cumplimiento de SPF, DKIM y DMARC la entregabilidad del correo?
No. Aunque es necesario cumplir con los requisitos de autenticación, la ubicación en el buzón sigue dependiendo de la reputación, el historial de quejas y rechazos, la calidad del contenido, los patrones de envío, el nivel de interacción y si cada mensaje cumple con las normas.
¿Puedo automatizar las verificaciones con una API?
Sí. Es común utilizar un verificador del lado del servidor durante el proceso de onboarding, verificación de dominios, revisión de proveedores o mediante un monitor cron. Guarde tanto los códigos de estado normalizados como los datos brutos para que las diferencias puedan auditarse posteriormente.
Comience con una auditoría gratuita de seguridad del correo para su dominio
El mismo paquete de auditoría alojado integra todo el conjunto de controles en una sola llamada. La cuota básica gratuita (cinco llamadas al mes) es suficiente para examinar la estructura completa de una respuesta antes de elegir un plan de pago.
Utilice un plan gratuito de RapidAPI para llamar al endpoint, inspeccionar las pruebas adjuntas a cada verificación y priorizar las reparaciones según los hallazgos en lugar de solo basarse en la puntuación numérica.