DMARC
DMARC es una capa de políticas por encima de SPF y DKIM que indica a los receptores qué hacer con el correo que falla la autenticación (monitorizar, poner en cuarentena o rechazar) y te envía informes sobre quién envía en nombre de tu dominio.
Cómo funciona DMARC
DMARC es un registro TXT que cumple dos funciones. Primero, fija una política (none, quarantine o reject) que indica a los receptores cómo tratar los mensajes que fallan la autenticación y la alineación. Segundo, solicita informes agregados, de modo que recibes un flujo de cada fuente que envía correo como tu dominio, sea legítima o no.
Un mensaje pasa DMARC cuando SPF o DKIM pasan Y están alineados, es decir, cuando el dominio autenticado coincide con el dominio From visible. Ese requisito de alineación es lo que realmente frena la suplantación.
Las tres políticas de DMARC
- p=none: solo monitorizar; recoge informes sin afectar a la entrega. Es el punto de partida.
- p=quarantine: envía a spam el correo que falla. Úsala cuando todas tus fuentes legítimas estén autenticadas.
- p=reject: rechaza directamente el correo que falla. Es la meta; la exigen Gmail/Yahoo a los remitentes de alto volumen.
Desplegar DMARC de forma segura
- 1
Publica p=none
Empieza en modo monitorización con una dirección de informes para ver cada fuente de envío sin arriesgar el correo legítimo.
- 2
Autentica cada fuente
Repasa los informes y asegúrate de que cada servicio legítimo pasa SPF o DKIM con alineación.
- 3
Pasa a p=quarantine
Una vez limpio, sube la política para que el correo no autenticado caiga en spam, y sigue vigilando los informes.
- 4
Refuerza con p=reject
Por último, rechaza el correo que falla. Tu dominio ya no podrá suplantarse hacia las bandejas de entrada.
Preguntas frecuentes
¿Necesito SPF y DKIM antes de DMARC?
Sí. DMARC evalúa los resultados de SPF y DKIM, así que ambos deben estar en marcha y alineados antes de aplicar una política más estricta que p=none.
¿Qué es la alineación DMARC?
La alineación significa que el dominio autenticado por SPF o DKIM coincide con el dominio de la dirección From visible. Sin alineación, una firma técnicamente válida de otro dominio no contaría.
¿Es arriesgado p=reject?
Solo si avanzas demasiado rápido. Empieza en p=none, corrige cada fuente con los informes y luego sube. Hecho en orden, reject es seguro y muy recomendable.
Empieza a enviar en minutos
Crea una cuenta gratuita, conecta tu dominio y llega a tu audiencia en todos los canales, sin tarjeta de crédito.
Plan gratuito para siempre · Sin tarjeta de crédito · Listo en minutos