El registro MX del DNS: ¿una señal de confianza?

Toda dirección de correo termina con un nombre de dominio: lo que va después de la @. Para que un mensaje llegue, los servidores tienen que saber dónde entregar el correo de ese dominio. Esa es la tarea de una línea diminuta en el directorio de Internet: el registro MX. Pequeñísimo, pero imprescindible… y muy útil para detectar una dirección falsa.

El DNS, el directorio de Internet

Los ordenadores solo conocen números: las direcciones IP, como 203.0.113.10. Las personas preferimos nombres, como example.com. El DNS hace la traducción, como la agenda del móvil que convierte «Mamá» en un número.

Para un sitio web, la pregunta al DNS es sencilla: «¿en qué dirección está este sitio?». La respuesta es un registro de tipo A (o AAAA para las direcciones más recientes, en IPv6). El navegador va directamente a esa dirección, y listo.

El correo tiene su propio cartel: el MX

El correo electrónico recibe un trato especial: un tipo de registro solo para él, el MX (Mail eXchanger, «intercambiador de correo»). Responde a otra pregunta: «para el correo dirigido a @este-dominio, ¿con qué servidor hay que contactar?».

¿Por qué un cartel aparte? Porque la máquina que recibe el correo a menudo no es la que muestra el sitio web. Una empresa puede alojar su web en un proveedor y confiar su correo a Google o a Microsoft. El MX sirve para decir: «la web está aquí, pero las cartas van allí».

La web no necesita ese rodeo: el navegador va a ver el sitio a su dirección, y punto. En cambio, para el correo, un dominio que quiere recibir correo debe declarar un MX. La norma prevé un plan B (si no hay MX, los servidores prueban la dirección del propio dominio), pero es un resto antiguo en el que los dominios serios no se apoyan. Sin MX, es como una casa sin buzón. Es la etapa 3 de la guía Cómo viaja un correo del remitente al destinatario.

El titular y los suplentes

Un dominio puede declarar varios MX, cada uno con un número de prioridad. La regla que hay que recordar: el número más pequeño va primero, como en el golf. Los demás son suplentes, como los porteros en el banquillo: solo entran si el titular no responde. Así se ve:

example.com.   MX   10   mail1.example.com.
example.com.   MX   20   mail2.example.com.

Aquí, el correo va primero a mail1 (prioridad 10). Si ese servidor está caído, se prueba mail2 (prioridad 20). Los grandes proveedores como Gmail declaran así varios MX, para no perder nunca un mensaje.

Una señal de confianza… con signo de interrogación

Tener MX es un mínimo de seriedad. Una empresa de verdad, una administración de verdad, una persona de verdad quieren poder recibir respuestas. Por eso su dominio tiene buzón.

Que el dominio del remitente no tenga MX es una señal de alarma. Significa que la dirección que aparece en «De:» no puede recibir nada: si respondes, tu mensaje no llega a ninguna parte. Seguramente la dirección es inventada, o se tiró justo después del envío. Es típico del spam y del phishing que fabrican direcciones en serie.

¡Ojo, el signo de interrogación importa! Un MX no demuestra honradez. Un estafador que compra su propio dominio puede declararle un MX en dos minutos, e incluso configurar SPF, DKIM y DMARC. Otra confusión frecuente: el MX indica dónde llega el correo, no desde dónde sale. El servidor que envía no tiene por qué ser el MX; lo que regula el envío es SPF, explicado en la guía Phishing: cómo consiguen los estafadores que lleguen sus correos.

En resumen: sin MX, mucha duda. Con MX, buen comienzo, pero hay que seguir comprobando.

Por qué Baitback lo comprueba

Cuando se analiza un correo con Baitback, la herramienta toma el dominio de la dirección «De:» y pregunta al DNS: ¿tiene este dominio un MX, o al menos una dirección de reserva? Si la respuesta es no, Baitback muestra una alerta («este dominio no puede recibir correos: dirección desechable o inventada») y suma 15 puntos a la puntuación de alerta.

Esta comprobación nunca se usa sola: se suma a las demás pistas (dominio creado hace pocos días, nombre que imita una marca, SPF que falla…). Es el conjunto lo que hace subir la puntuación y ayuda a decidir si hay que denunciar.

Compruébalo tú mismo en 10 segundos

Todo el mundo debería tener este reflejo antes de responder a un desconocido, hacer clic en un enlace o pagar lo que sea. Tres formas de hacerlo:

• La más sencilla: pegar el correo en Baitback, que hace la comprobación solo, junto con los demás controles.
• En un ordenador (Windows, Mac o Linux), abrir un terminal y escribir:

  nslookup -type=mx example.com

  En Mac y Linux también se puede usar:

  dig mx example.com +short

  Si la respuesta no contiene ninguna línea «mail exchanger» o «MX», el dominio no tiene buzón.
• En línea: muchos sitios gratuitos de «consulta DNS» muestran los MX de un dominio con un clic.

¿Tienes tu propio nombre de dominio? Comprueba que tiene un MX si recibe correo. Y si nunca envía ni recibe correos, díselo al mundo entero: un «MX nulo» y un SPF que prohíbe todo envío (v=spf1 -all) impiden que los estafadores usen tu nombre de forma creíble.

¿Sabías que…?

• El MX se inventó en 1986, solo tres años después del propio DNS. El correo fue uno de los primeros servicios en tener su propio cartel en el directorio.
• example.com no es de nadie… o casi. Este nombre, como example.org y todo lo que termina en .example, está reservado desde 1999 para usarse en ejemplos. No se puede comprar: por eso lo usan las guías.
• Existe un «MX nulo». Desde 2015, un dominio puede declarar MX 0 .: es la pegatina «No se admite correo, gracias» en el buzón. Así los servidores saben que no merece la pena insistir.
• 13 nombres, cientos de copias. En lo más alto del DNS están los servidores raíz, designados por 13 letras, de la A a la M. Pero cada uno está copiado en cientos de lugares del mundo: seguramente hay uno no muy lejos de ti.
• El DNS tiene memoria. Cada respuesta se guarda durante un tiempo elegido por el dominio, el TTL: de unos minutos a un día. Por eso un cambio de MX puede tardar unas horas en verse en todas partes.