DMARC

Guía para configurar el registro DMARC

Qué significa la alineación, por qué una comprobación SPF que pasa puede fallar DMARC igual, y el camino por etapas de none a reject.

Generador de registros DMARCPruébelo en su propio dominio primero. Gratis, sin cuenta.

¿Qué es DMARC?

DMARC (Domain-based Message Authentication, Reporting and Conformance) une SPF y DKIM. Les dice a los servidores receptores qué hacer con el correo que falla la autenticación (monitorear con none, quarantine o reject) y adónde enviar los reportes.

Cómo elegir una política

Empieza en p=none para recopilar reportes sin afectar la entrega, revisa quién envía como tu dominio, luego endurece a p=quarantine y finalmente a p=reject cuando el correo legítimo pase. Este despliegue por etapas te protege de bloquear correo real por accidente.

Dónde vive el registro

Publica el registro generado como registro TXT en _dmarc.yourdomain.com. Agrega una dirección rua para recibir los reportes agregados y así ver exactamente qué fuentes pasan y cuáles fallan la autenticación.

Qué significa realmente la alineación

DMARC no solo pregunta si SPF o DKIM pasaron. Pregunta si el dominio que pasó coincide con el dominio del From que ve tu lector. Un mensaje puede pasar SPF para el dominio de un proveedor y aun así fallar DMARC, porque los dos dominios no están alineados. Esa diferencia es la razón más común por la que una configuración que se ve correcta falla.

Cómo pasar de none a reject sin romper el correo

Quédate en p=none el tiempo suficiente para ver un ciclo de facturación completo de reportes, así aparecen los remitentes trimestrales y anuales. Corrige cada fuente legítima que falle la alineación. Después pasa a quarantine con pct=25, observa, sube el porcentaje y solo entonces ve a reject. Saltarse el paso de leer los reportes es la forma en que se bloquea correo legítimo.

Revisa el tuyo ahora

Arma el registro con el generador de registros DMARC gratuito y confirma lo que resuelve con el chequeo de salud del correo gratuito.

Cómo publicar un registro DMARC

Publica una política DMARC, recopila reportes y endurece la aplicación de forma segura.

Publica SPF y DKIM primeroDMARC es un veredicto sobre la alineación de SPF y DKIM. Si al menos uno de los dos no pasa y está alineado, una política DMARC estricta bloqueará tu propio correo.
Genera un registro p=noneDefine la política en none y agrega una dirección rua para que empiecen a llegar los reportes agregados. En esta etapa no cambia nada en la entrega.
Publícalo en _dmarcCrea un registro TXT en _dmarc.yourdomain.com con el valor generado.
Lee los reportesEspera al menos dos semanas y revisa qué fuentes envían como tu dominio y cuáles fallan la alineación. Corrige las legítimas.
Endurece la políticaPasa a p=quarantine y luego a p=reject cuando todas las fuentes legítimas pasen. Si envías mucho volumen, sube la aplicación de forma gradual con la etiqueta pct.

Preguntas frecuentes

¿Necesito DMARC?

Sí, si envías correo masivo a Gmail o Yahoo (al menos p=none). Para cualquier dominio, DMARC evita la suplantación y mejora la entregabilidad.

¿Con qué política debo empezar?

Empieza con p=none para monitorear, y luego pasa a quarantine y reject a medida que confirmes que todos tus remitentes legítimos pasan la alineación de SPF o DKIM.

¿Qué es una dirección rua?

rua es la dirección de correo que recibe los reportes agregados de DMARC, los resúmenes XML de quién envía correo usando tu dominio y si pasó la autenticación.

¿DMARC requiere SPF y DKIM?

DMARC se construye sobre ellos: un mensaje pasa DMARC cuando pasa SPF o DKIM Y ese dominio autenticado está alineado con el dominio del From. Necesitas al menos uno alineado y que pase.

¿Cuánto tiempo debo quedarme en p=none?

Lo suficiente para ver a todos los remitentes que usan tu dominio, lo que normalmente significa al menos un ciclo de facturación completo para que aparezca el correo trimestral y anual. Dos semanas es un piso, no una meta.

¿Cuál es la diferencia entre rua y ruf?

rua recibe reportes agregados: resúmenes XML diarios con los conteos de pass y fail por fuente. ruf recibe reportes forenses: copias censuradas de mensajes individuales que fallaron. Los reportes agregados son sobre los que actúas; los forenses te ayudan a diagnosticar un fallo específico.

Más guías

Estas herramientas responden la pregunta una vez. El monitoreo continuo vuelve a revisar su dominio cada 6 horas y le avisa cuando la respuesta cambie, desde $14/mes. Precios