Respuesta corta: DMARC es un registro TXT en
_dmarc.tudominio.comque indica a los servidores de correo qué hacer con los mensajes que dicen venir de tu dominio y no superan las comprobaciones. Empieza conp=none(solo observar), revisa los informes y endurece aquarantiney después areject.
Por qué importa
Sin DMARC, cualquiera puede enviar correos que parezcan venir de tu@tudominio.com. Es la base de buena parte del phishing y de las estafas de «factura falsa». Además, desde 2024 Google y Yahoo exigen a quien envía correo en volumen que el dominio tenga al menos una política DMARC, y tenerlo ayuda a la entregabilidad incluso con volúmenes pequeños.
Antes de empezar: SPF y DKIM
DMARC no comprueba nada por sí mismo: se apoya en SPF y DKIM. Para que un mensaje pase DMARC, al menos uno de los dos debe pasar y estar alineado con el dominio del remitente visible. Antes de endurecer nada, asegúrate de que:
- Tu dominio tiene un registro SPF válido que incluye todos los servicios que envían en tu nombre.
- Tu proveedor de correo (Google Workspace, Microsoft 365, tu hosting…) tiene DKIM activado y publicado en el DNS.
- Los servicios de terceros (newsletter, CRM, facturación, plugin SMTP del formulario de WordPress) están configurados para firmar con tu dominio.
Paso 1: crea el registro en modo observación
En el panel DNS de tu dominio crea un registro de tipo TXT con estos datos:
| Campo | Valor |
|---|---|
| Tipo | TXT |
| Nombre / Host | _dmarc (algunos paneles piden el nombre completo: _dmarc.tudominio.com) |
| Valor | v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com |
| TTL | 3600 (o el valor por defecto) |
v=DMARC1; p=none; rua=mailto:dmarc@tudominio.comQué significa cada parte: v=DMARC1 identifica el registro; p=none es la política (no tomar medidas, solo informar); rua es el buzón al que los servidores enviarán informes agregados.
Importante: un dominio solo puede tener un registro DMARC. Si ya existe uno, edítalo en vez de crear otro.
Paso 2: comprueba que está publicado
dig +short TXT _dmarc.tudominio.com
# o, en Windows:
nslookup -type=TXT _dmarc.tudominio.comDebería devolver tu cadena v=DMARC1…. Si tarda en aparecer, es propagación del DNS; suele resolverse en minutos u horas según el TTL anterior.
Paso 3: lee los informes durante 2-4 semanas
Los informes rua llegan en XML comprimido, difíciles de leer a mano. Puedes enviarlos a un servicio gratuito o de pago que los convierta en tablas (hay varios; elige el que prefieras) o revisarlos tú mismo si el volumen es bajo. Busca dos cosas:
- Remitentes legítimos que fallan (un CRM, una herramienta de facturación…): hay que configurarles SPF o DKIM.
- Remitentes desconocidos que usan tu dominio: es justo lo que DMARC va a bloquear.
Si el buzón rua está en otro dominio distinto al protegido, el dominio receptor debe autorizar la recepción con un registro tudominio.com._report._dmarc.otrodominio.com de tipo TXT con valor v=DMARC1. Es un detalle que muchos pasan por alto.
Paso 4: endurece la política
Cuando los informes muestren que todo lo legítimo pasa, sube de nivel:
| Política | Qué hace | Cuándo usarla |
|---|---|---|
p=none | No toma medidas, solo informa | Fase inicial de observación |
p=quarantine | Los mensajes que fallan van a spam | Cuando los envíos legítimos ya pasan |
p=reject | Los servidores rechazan los mensajes que fallan | Objetivo final; máxima protección frente a suplantación |
Pasa de un nivel al siguiente con calma y vigilando los informes tras cada cambio. Saltar directamente a reject sin haber revisado los remitentes es la forma más rápida de perder correos legítimos.
Errores habituales
- Dos registros DMARC en el mismo dominio: se invalidan. Deja uno.
- Poner el registro en el nombre equivocado (en la raíz en vez de en
_dmarc). - Olvidar un servicio que envía en tu nombre (el formulario de contacto de WordPress suele ser el culpable: mejor usar un plugin SMTP autenticado que
mail()de PHP). - Endurecer sin leer los informes.
- No cubrir los subdominios. Puedes fijar su política con la etiqueta
sp=.
Para agencias: vigilarlo en todas las webs
Revisar el DNS de cada cliente a mano no escala. Jeffrey abre un aviso («El correo del dominio no tiene DMARC») cuando un dominio recibe correo, tiene registros MX y no publica DMARC. Un p=none cuenta como DMARC publicado y aparece en el informe, no como alerta. Si el cliente no quiere tocar su correo, puedes aplazar o dar el aviso por visto y dejar constancia. Más en Para agencias.
Preguntas frecuentes
¿DMARC mejora la entregabilidad?
Ayuda a que los grandes proveedores confíen en tu dominio y es un requisito para el envío masivo a Gmail y Yahoo. No sustituye a una buena reputación ni a un contenido limpio.
¿Puede DMARC hacer que pierda correos?
Solo si pasas a quarantine o reject antes de autenticar bien todos tus remitentes. Con p=none no se pierde nada.
¿Qué pasa si mi dominio no envía correo?
Conviene publicar igualmente v=DMARC1; p=reject (y un SPF v=spf1 -all) para que nadie lo suplante.