Informe de Salud del Dominio
Analiza un dominio entero en una sola consulta: DNS, SPF, DKIM, DMARC, DNSSEC, CAA, HTTPS y cabeceras de seguridad, con una lista priorizada de qué arreglar.
Qué hace esta herramienta
Escribes un dominio y en una sola consulta obtienes lo que hasta ahora exigía abrir nueve herramientas distintas y saber qué buscar en cada una: estado del correo, del DNS, del HTTPS y de las cabeceras, con una nota por área y —lo que de verdad importa— una lista priorizada de qué arreglar primero.
La diferencia con un verificador suelto no es la cantidad de comprobaciones. Es que un verificador te dice qué falta y esto te dice qué hacer y en qué orden.
Las doce comprobaciones
Todas se lanzan en paralelo, porque en serie tardaría más que abrirlas a mano.
Correo (35 % de la nota) : SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI y los registros MX.
HTTPS (25 %)
: Si el sitio responde por HTTPS, si http:// redirige a https:// y la política HSTS. No inspecciona el certificado (emisor, caducidad, nombres): la herramienta corre en un entorno que solo habla HTTP(S), sin sockets TLS. Lo que sí sabe es que, si el certificado es inválido, la conexión se rechaza y el informe lo marca como «no responde por HTTPS».
DNS (20 %) : Servidores de nombres y su redundancia, DNSSEC y CAA.
Cabeceras (20 %) : Las siete cabeceras HTTP que endurecen un sitio, ponderadas por lo que aportan.
Correo y HTTPS pesan más porque un fallo ahí es explotable hoy: alguien puede enviar correo haciéndose pasar por ti, o tu sitio puede quedar sin HTTPS. Las cabeceras mitigan el daño de otros fallos, y DNSSEC o CAA son endurecimiento: importantes, pero no urgencias.
Cómo leer la nota
La puntuación global es la media ponderada de las cuatro áreas. Un detalle deliberado: si un área no aplica, su peso se reparte entre las demás en lugar de contarla como cero. Un dominio que solo sirve una web no debería suspender por no tener configurado el correo entrante.
Y una advertencia sobre el rigor de la escala. Se ha calibrado para que no grite donde no toca: no tener DNSSEC ni CAA es lo normal en la inmensa mayoría de dominios legítimos, así que resta poco. Lo que sí hunde la nota es lo que de verdad deja expuesto: un SPF que autoriza a todo internet, un DMARC ausente, un sitio que no responde por HTTPS o un único servidor de nombres.
Lo que este informe no es
Merece su propio apartado porque la confusión es fácil y cara.
No es un análisis de vulnerabilidades. Mira exclusivamente lo que es público: registros DNS, si el sitio responde por HTTPS y las cabeceras de la portada. No entra en tu máquina, no prueba exploits, no revisa tu código ni tus dependencias. Una nota A significa que la configuración pública está bien puesta, no que el sitio sea inexpugnable.
No sustituye a una auditoría. Un atacante real prueba tu aplicación, no tus registros TXT.
No puede confirmar DKIM. Esta es la limitación técnica que conviene entender, porque muchas herramientas la disimulan. La clave pública de DKIM vive en <selector>._domainkey.tudominio.com, y el selector solo lo conoce quien firma: no existe forma de enumerarlo. El informe prueba los selectores más habituales y, si no encuentra ninguno, lo marca como informativo en vez de afirmar que falta. Dominios grandes que firman con selectores rotativos dan ese falso negativo constantemente, y decir «no tienes DKIM» sería sencillamente mentir.
Por dónde empezar si sale mal
El orden de la lista ya es la respuesta, pero el patrón habitual es este:
- Lo crítico del correo. Un SPF que acaba en
+allo la ausencia de DMARC permiten que cualquiera envíe correo en tu nombre. Es lo más barato de arreglar y lo que más daño evita. - El HTTPS. Si el sitio no responde por HTTPS, todo lo demás es secundario: el navegador lo marcará como no seguro o tapará la página con una advertencia a pantalla completa. Como el informe no lee el certificado, ponle un recordatorio de caducidad en tu proveedor.
- Subir DMARC de
p=noneap=quarantine. Casi todo el mundo se queda en observación y no llega nunca a bloquear nada, que es donde está el beneficio real. - Las dos cabeceras que importan:
Strict-Transport-SecurityyContent-Security-Policy. Las otras cinco son minutos de configuración una vez estás ahí. - DNSSEC y CAA, cuando el resto esté hecho.
Auditar un dominio antes de comprarlo
Un caso de uso que no estaba previsto y que trae a bastante gente: revisar un dominio ajeno antes de pagar por él, normalmente uno caducado o de segunda mano. El informe cubre lo que se ve desde fuera y es suficiente para saber si está vivo, aparcado o abandonado: si tiene MX apunta a que alguien recibe correo ahí; si responde por HTTPS, que hay una web servida; si el DNS está firmado y con CAA, que lo administró alguien que sabía lo que hacía.
Lo que el informe no mira, y hay que comprobar aparte antes de comprar, es el historial:
- Antigüedad y registrador, en la consulta WHOIS. Un dominio de 2009 y un dominio registrado hace tres semanas para revenderlo no valen lo mismo.
- Reputación de correo, que este informe no cubre (no consulta listas negras). Si el dueño anterior lo usó para spam, las listas se quedan con el dominio, no con él.
- Historial de contenido, en Wayback Machine. Ninguna herramienta técnica te dice si en 2019 era una tienda de suplementos con penalización de Google.
Si prefieres el detalle
Parte de las comprobaciones tiene también su herramienta propia en el catálogo, por si quieres correr solo una: auditor de correo y consulta DNS. Este informe reutiliza exactamente los mismos analizadores, así que los resultados coinciden: lo que aporta es reunirlos, ordenarlos y explicarlos en una sola página.
Preguntas frecuentes
¿Sirve para auditar un dominio antes de comprarlo?
Sirve para la mitad que se puede ver desde fuera. El informe te dice cómo está configurado hoy el dominio (si envía correo, con qué proveedor, si responde por HTTPS, si el DNS está firmado), y eso ya revela si es un dominio en uso, abandonado o aparcado. Lo que no mira, y conviene comprobar aparte antes de pagar, es su historial: la antigüedad y el registrador en la consulta WHOIS, y si alguna IP asociada está en listas negras. Un dominio caducado con mala reputación de correo hereda el problema al nuevo dueño.
¿Cómo hago una auditoría DNS completa de un dominio?
Escribe el dominio y ejecuta el informe: en el área DNS revisa los servidores de nombres, DNSSEC y CAA, y en la de correo los registros MX, SPF, DKIM y DMARC, que también viven en el DNS. Si quieres ver los registros en bruto, tipo por tipo, con su TTL, la herramienta de consulta DNS los lista; y si acabas de cambiar algo, la de propagación te dice qué resolvedores ya ven el cambio. Entre las tres cubren lo que un auditor pide: qué hay publicado, si está firmado y si ya se ve desde fuera.
¿Qué comprueba exactamente el informe?
Doce cosas en paralelo, repartidas en cuatro áreas. Correo: SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI y los registros MX. DNS: servidores de nombres, DNSSEC y CAA. HTTPS: si responde por HTTPS, si http:// redirige a https:// y la política HSTS. Y las cabeceras de seguridad HTTP de la portada.
¿Cómo se calcula la nota?
Cada área tiene su propia puntuación y la global es una media ponderada: correo pesa un 35 por ciento, HTTPS un 25, y DNS y cabeceras un 20 cada una. Correo y HTTPS pesan más porque un fallo ahí es explotable hoy mismo, mientras que las cabeceras mitigan y DNSSEC o CAA son endurecimiento. Si un área no aplica, se reparte su peso entre las demás.
Me dice que no encuentra DKIM y sí lo tengo. ¿Está mal?
No está mal, pero tampoco puede afirmarlo. La clave pública de DKIM vive en un subdominio que depende del selector, y el selector solo lo conoce quien firma: no hay forma de enumerarlos. El informe prueba los más habituales y, si no da con ninguno, lo marca como informativo en lugar de acusar de que falta. Si conoces tu selector, compruébalo en la herramienta de DKIM.
¿Esto es un análisis de vulnerabilidades?
No, y conviene tenerlo claro. El informe mira solo lo que es público: registros DNS, si el sitio responde por HTTPS (sin inspeccionar el certificado: emisor, caducidad o nombres) y las cabeceras de la portada. No entra en tu servidor, no prueba exploits y no revisa tu aplicación. Una nota A significa que la configuración pública está bien puesta, no que el sitio sea inexpugnable.
¿Por qué mi dominio saca mala nota en cabeceras si es solo una web informativa?
Porque se comprueba la presencia de siete cabeceras y muchos sitios no configuran ninguna. No es una emergencia: las cabeceras no arreglan un fallo, limitan lo que se puede hacer con él. Empieza por las dos que más cambian la postura del sitio, Strict-Transport-Security y Content-Security-Policy.
Guías relacionadas
Tutoriales del blog donde esta herramienta resulta útil.
Herramientas relacionadas
Otras del catálogo que se usan bien junto a esta.