Dos proveedores, una meseta persistente y una cola muy larga: el correo electrónico en el Top-1M de Tranco

Casi toda la información sobre cómo gestiona un dominio el correo electrónico se encuentra en el DNS público, a la espera de ser analizada. El registro MX indica dónde se encuentra el buzón de correo. El registro SPF indica quién puede enviar mensajes en nombre del dominio. El registro DMARC indica qué debe suceder cuando un mensaje no supera la autenticación. Si se combinan estos tres elementos para un millón de dominios, cada día, se obtiene algo así como una estación meteorológica para la infraestructura de correo electrónico.

Eso es lo que utilizo. El proceso toma las instantáneas diarias de DNS directas que el proyecto OpenINTEL (Universidad de Twente, SURFnet y SIDN Labs) publica para el top-1M de Tranco, y clasifica el nombre de host MX y las inclusiones SPF de cada dominio comparándolos con diccionarios abiertos de proveedores de buzones de correo, plataformas de envío y aplicaciones SaaS. En un día normal se obtienen unos 659 000 dominios con registros MX y 618 000 con SPF. Los archivos de OpenINTEL permiten calcular las mismas cifras desde 2016, lo que convierte una instantánea en una serie temporal —y es precisamente en la serie temporal donde la cosa se pone interesante—.

Hay tres conclusiones extraídas de los datos actuales que parecen merecer la atención de la comunidad.

La gran migración frente al muelle 25

En 2016, el 44,6 % de los dominios con extensión .MX incluidos entre el millón más visitado disponían de su propio servidor de correo. En la instantánea del 18 de julio de 2026, esa cifra es del 22,4 %, y sigue disminuyendo, habiendo bajado otro medio punto porcentual solo en los últimos treinta días. Parece que merece la atención de la comunidad.

Los dominios no han desaparecido; se han trasladado. Google Workspace recibe ahora el correo del 21,8 % de los dominios con registros MX, y Microsoft 365, del 16,8 %. En conjunto, estas dos empresas concentran el 38,6 % del correo entrante de la red de Internet analizada. Nadie más se acerca a estas cifras: el siguiente proveedor mencionado, Proofpoint, se sitúa en el 1,9 %.

Es fácil interpretar esto como una cuestión de cuota de mercado, pero para esta comunidad se trata, en realidad, de una cuestión de resiliencia. La comunidad RIPE lleva años debatiendo sobre la centralización del DNS y las CDN; el correo electrónico está siguiendo el mismo camino, aunque de forma más discreta. Cuando más de un tercio de los dominios más populares dependen de dos proveedores para recibir correo, una interrupción del servicio, un cambio en el filtrado o una decisión normativa en cualquiera de ellos se propaga por todo el ecosistema de inmediato. Y, a diferencia de una CDN, el correo electrónico no cuenta con un plan de contingencia eficaz: un mensaje rechazado simplemente desaparece.

Además, existe un efecto de segundo orden. Cuantos menos operadores independientes haya, más se verán afectados los restantes por los problemas de entrega propios de un entorno adaptado a los dos grandes. Cualquiera que haya intentado poner en marcha un nuevo servidor Postfix en 2026 y conseguir que su correo sea aceptado a gran escala sabe exactamente a qué me refiero.

DMARC: adoptado en todas partes, pero no se aplica en ningún sitio en concreto

En la instantánea actual, 458 467 dominios publican un registro DMARC. Sobre el papel, se trata de un éxito que se ha ido forjando a lo largo de una década. En la práctica, solo el 46,9 % de esos dominios aplican alguna medida, es decir, p=quarantine o p=reject con pct=100. La mayoría publica políticas que no exigen ninguna acción por parte de los destinatarios.

Lo que más me ha sorprendido, más allá del nivel, es la tendencia. La cuota impuesta no está aumentando gradualmente; en los últimos treinta días, ha descendido en 0,44 puntos porcentuales. Los requisitos para remitentes masivos que Google y Yahoo introdujeron en 2024 impulsaron claramente la publicación —se puede observar el salto en la curva de adopción—, pero fijaron el listón en «disponer de un registro DMARC», y una parte muy importante de Internet se detuvo precisamente ahí.

Los propios registros cuentan la historia mejor que cualquier dato agregado. El registro DMARC más común del conjunto de datos, publicado textualmente por 58 064 dominios, es:

v=DMARC1; p=none;

Otros 32 682 dominios publican la misma cadena sin el punto y coma final, y miles más publican variantes menores a nivel de byte de la misma. Se trata de políticas iniciales copiadas y pegadas, creadas para cumplir con una lista de verificación y que nunca se revisan. Un registro «p=none» sin destino «rua=» ni siquiera recopila los informes que justificarían su propia existencia. No protege a nadie; simplemente hace que las estadísticas de adopción parezcan buenas.

La «cola larga» a la que nadie sabe cómo llamar

La clasificación basada en diccionarios tiene un límite, y quiero ser sincero sobre cuál es. La comparación de los nombres de host MX con unos 310 patrones de proveedores y de las inclusiones SPF con diccionarios de ESP, reenviadores y pasarelas permite identificar actualmente alrededor del 81,5 % de las inclusiones SPF y la gran mayoría de los registros MX. Lo que queda es notable por su volumen: 36 455 nombres de host MX únicos que no coinciden con ningún proveedor conocido, y decenas de miles de destinos de «include» de SPF que aparecen en un único dominio cada uno.

Algunas de las cosas que salen a la luz en esa cola resultan entretenidas —503 dominios entre el millón más importante publican «localhost» como su MX, y 130 publican literalmente un «~» —, pero la mayor parte corresponde a la parte menos glamurosa de Internet: proveedores de alojamiento regionales, servidores Exim de construcción propia y puertas de enlace corporativas con nombres de host personalizados. Esta es precisamente la población que los estudios sobre la capacidad de entrega consideran la peor, ya que resulta invisible para cualquier medición que se centre únicamente en las grandes plataformas. Publico abiertamente los hosts sin coincidencia en cada ejecución diaria, en parte a modo de invitación: si reconoce un patrón de nombre de host, las correcciones se incluirán en la instantánea del día siguiente.

Acerca de los datos y de lo que estos no pueden reflejar

La fuente es la instantánea diaria de OpenINTEL Tranco; los datos anteriores a 2022 se basan en la fuente heredada de OpenINTEL «Alexa top-1M», cuya composición es ligeramente diferente. Para cada dominio, el MX principal (preferencia más baja) determina el proveedor de correo electrónico; el registro SPF de ápice determina los remitentes; y el registro TXT de _dmarc se analiza para obtener la política, la política de subdominios y el porcentaje (pct). Los datos agregados, la serie temporal completa y el feed de cambios diario se publican en la página de estadísticas del proyecto; los datos brutos de OpenINTEL se eliminan tras cada ejecución, de conformidad con su acuerdo de datos.

Conviene señalar claramente los puntos ciegos. Los registros SPF simplificados —incluidas las cadenas sustituidas por rangos de IP sin procesar para eludir el límite de 10 consultas— ocultan por completo la plataforma de envío. Los destinos MX que son CNAME de un proveedor conocido no se desglosan, lo que hace que una pequeña parte de los dominios pase a estar en estado «desconocido». Las implementaciones de marca blanca de Mimecast o Proofpoint son indistinguibles del autohospedaje cuando el cliente utiliza sus propios nombres de host. Además, la propia Tranco se inclina por los dominios de EE. UU. y la UE, por lo que el panorama refleja la parte más popular de Internet, no la totalidad.

Hacia dónde nos lleva esto

Estos registros, que abarcan diez años, cuentan una historia coherente dividida en tres capítulos:

• Una consolidación que no da señales de ralentizarse
• Un estándar de autenticación que se adoptó más como una mera formalidad que como una medida de protección
• Una cola larga que se resiste a ser contada en absoluto.

Cada capítulo incluye una pregunta. ¿A partir de qué volumen de correo entrante se convierte este en una dependencia sistémica que merece la atención explícita de la comunidad? ¿Qué haría realmente que DMARC pasara de ser una norma publicada a una norma aplicada, teniendo en cuenta que los mandatos de 2024, como se ha demostrado, no lo lograron? ¿Y qué parte de la infraestructura de correo de Internet se nos escapa a todos porque nuestros diccionarios desconocen su nombre?

No dispongo de respuestas definitivas. Mañana a las 23:00 volveré a realizar la misma medición, y también pasado mañana; y, si se repite durante un número suficiente de días, así es como suelen resolverse estas cuestiones.

Los datos de DNS subyacentes proceden de la plataforma de medición OpenINTEL de la Universidad de Twente, SURFnet y SIDN Labs (van Rijswijk-Deij et al., IEEE JSAC 2016). ¿Ha detectado un host MX clasificado erróneamente o un patrón de proveedor que falta? Agradecemos sus correcciones, que aparecerán en la próxima instantánea diaria.

Adaptado de la entrada original publicada por primera vez en RIPE Labs.

Artem Berezin dirige el proyecto de medición de la infraestructura de correo electrónico en Live Direct Marketing, donde lleva a cabo un análisis diario del DNS de los primeros un millón de dominios de Tranco basándose en datos de OpenINTEL.

---

por Deborah Hudson, de Pixabay