Informe de Salud del Dominio

Qué hace esta herramienta

Escribes un dominio y en una sola consulta obtienes lo que hasta ahora exigía abrir nueve herramientas distintas y saber qué buscar en cada una: estado del correo, del DNS, del certificado y de las cabeceras, con una nota por área y —lo que de verdad importa— una lista priorizada de qué arreglar primero.

La diferencia con un verificador suelto no es la cantidad de comprobaciones. Es que un verificador te dice qué falta y esto te dice qué hacer y en qué orden.

Las doce comprobaciones

Todas se lanzan en paralelo, porque en serie tardaría más que abrirlas a mano.

Correo (35 % de la nota) : SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI y los registros MX.

TLS (25 %) : El certificado que sirve el puerto 443, cuántos días le quedan y si realmente cubre el dominio consultado.

DNS (20 %) : Servidores de nombres y su redundancia, DNSSEC y CAA.

Cabeceras (20 %) : Las siete cabeceras HTTP que endurecen un sitio, ponderadas por lo que aportan.

Correo y TLS pesan más porque un fallo ahí es explotable hoy: alguien puede enviar correo haciéndose pasar por ti, o tu sitio puede quedar inaccesible cuando caduque el certificado. Las cabeceras mitigan el daño de otros fallos, y DNSSEC o CAA son endurecimiento: importantes, pero no urgencias.

Cómo leer la nota

La puntuación global es la media ponderada de las cuatro áreas. Un detalle deliberado: si un área no aplica, su peso se reparte entre las demás en lugar de contarla como cero. Un dominio que solo sirve una web no debería suspender por no tener configurado el correo entrante.

Y una advertencia sobre el rigor de la escala. Se ha calibrado para que no grite donde no toca: no tener DNSSEC ni CAA es lo normal en la inmensa mayoría de dominios legítimos, así que resta poco. Lo que sí hunde la nota es lo que de verdad deja expuesto: un SPF que autoriza a todo internet, un DMARC ausente, un certificado caducado o un único servidor de nombres.

Lo que este informe no es

Merece su propio apartado porque la confusión es fácil y cara.

No es un análisis de vulnerabilidades. Mira exclusivamente lo que es público: registros DNS, el certificado que presenta el servidor y las cabeceras de la portada. No entra en tu máquina, no prueba exploits, no revisa tu código ni tus dependencias. Una nota A significa que la configuración pública está bien puesta, no que el sitio sea inexpugnable.

No sustituye a una auditoría. Un atacante real prueba tu aplicación, no tus registros TXT.

No puede confirmar DKIM. Esta es la limitación técnica que conviene entender, porque muchas herramientas la disimulan. La clave pública de DKIM vive en <selector>._domainkey.tudominio.com, y el selector solo lo conoce quien firma: no existe forma de enumerarlo. El informe prueba los selectores más habituales y, si no encuentra ninguno, lo marca como informativo en vez de afirmar que falta. Dominios grandes que firman con selectores rotativos dan ese falso negativo constantemente, y decir «no tienes DKIM» sería sencillamente mentir.

Por dónde empezar si sale mal

El orden de la lista ya es la respuesta, pero el patrón habitual es este:

1. Lo crítico del correo. Un SPF que acaba en +all o la ausencia de DMARC permiten que cualquiera envíe correo en tu nombre. Es lo más barato de arreglar y lo que más daño evita.
2. El certificado. Si caduca en días, todo lo demás es secundario: cuando expire, el navegador tapará tu sitio con una advertencia a pantalla completa.
3. Subir DMARC de p=none a p=quarantine. Casi todo el mundo se queda en observación y no llega nunca a bloquear nada, que es donde está el beneficio real.
4. Las dos cabeceras que importan: Strict-Transport-Security y Content-Security-Policy. Las otras cinco son minutos de configuración una vez estás ahí.
5. DNSSEC y CAA, cuando el resto esté hecho.

Si prefieres el detalle

Cada comprobación tiene su herramienta propia en el catálogo, con su explicación larga: auditor de correo, consulta DNS, consulta de SSL y cabeceras de seguridad. Este informe reutiliza exactamente los mismos analizadores, así que los resultados coinciden: lo que aporta es reunirlos y ordenarlos.