DMARC p=none: cómo pasar a quarantine y reject sin perder correos

Respuesta corta: con DMARC p=none tu dominio solo observa: cualquiera puede seguir enviando correos falsos con tu dominio y llegarán. Para protegerte hay que subir a p=quarantine y luego a p=reject, pero solo después de leer los informes DMARC y comprobar que todos tus remitentes legítimos pasan SPF o DKIM alineados. Bien hecho, son unas semanas de trabajo y no pierdes ni un correo.

Qué significa DMARC p=none

DMARC (puedes ver cómo funciona en dmarc.org) es un registro TXT en _dmarc.tudominio.com que dice a los servidores que reciben tu correo qué hacer con los mensajes que dicen venir de tu dominio pero no superan la comprobación. La etiqueta p= tiene tres valores:

p=none es el punto de partida correcto, porque te permite ver quién envía en tu nombre sin romper nada. El problema es quedarse ahí para siempre. Muchos dominios publicaron DMARC en p=none cuando Gmail y Yahoo empezaron a exigirlo a los remitentes masivos en 2024, y nunca más lo tocaron. Cumplen el requisito, pero no están protegidos contra la suplantación.

Para que un correo pase DMARC basta con que pase uno de estos dos, alineado con el dominio del From:

• SPF alineado: SPF pasa y el dominio del Return-Path coincide con el del From.
• DKIM alineado: la firma DKIM es válida y su dominio d= coincide con el del From.

Si necesitas el contexto completo, empieza por cómo configurar DMARC paso a paso.

Cómo saber si estás en p=none

dig +short TXT _dmarc.tudominio.com
"v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com"

Si sale p=none, tienes un DMARC p=none: estás en modo observación. Revisa también:

• ¿Hay rua=? Sin esa etiqueta no recibes informes, y sin informes no puedes subir de política con seguridad. Es el fallo más común.
• ¿Hay sp=? Define la política de los subdominios. Si no está, heredan la de p=.
• ¿El buzón de rua= es de otro dominio? Si los informes van a una plataforma externa (por ejemplo rua=mailto:abc@informes-dmarc.com), ese dominio tiene que autorizarlo con un registro tudominio.com._report._dmarc.informes-dmarc.com. Las plataformas serias lo publican solas.

Cómo pasar de p=none a reject paso a paso

Fase 1. Recoge informes (2 a 4 semanas)

1. Asegúrate de tener rua= apuntando a un buzón que leas o a una herramienta que procese los informes. Llegan muchos: uno al día por cada receptor grande.
2. Deja pasar al menos dos semanas, mejor cuatro, para que salgan los envíos mensuales: facturas, boletines, recordatorios.

Los informes agregados son XML comprimido. Si quieres mirar uno a mano:

gunzip -c 'google.com!tudominio.com!1730073600!1730159999.xml.gz' | less

Cada bloque record dice desde qué IP se envió, cuántos mensajes y cómo salieron SPF y DKIM:

<record>
  <row>
    <source_ip>198.51.100.40</source_ip>
    <count>212</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>fail</dkim>
      <spf>pass</spf>
    </policy_evaluated>
  </row>
  <identifiers><header_from>tudominio.com</header_from></identifiers>
  <auth_results>
    <dkim><domain>proveedor-newsletter.net</domain><result>pass</result></dkim>
    <spf><domain>tudominio.com</domain><result>pass</result></spf>
  </auth_results>
</record>

Este ejemplo pasa DMARC gracias a SPF, pero el DKIM está firmado con el dominio del proveedor. Funciona, aunque es frágil: si ese correo se reenvía, SPF fallará y no habrá DKIM alineado que lo salve.

Fase 2. Clasifica cada IP y arréglala

Haz una tabla con todas las fuentes que aparecen y clasifícalas:

1. Para cada servicio legítimo que falla, configura DKIM con tu dominio. Es la solución más robusta. Te lo contamos en DKIM: qué es y cómo comprobarlo.
2. Si añades servicios al SPF, vigila no pasar de 10 consultas: mira SPF con más de 10 consultas DNS.
3. No te olvides de los remitentes «invisibles»: la web (formularios, WooCommerce), la impresora que escanea a correo, el programa de facturación, el ERP.
4. Repite la revisión de informes una semana después de cada cambio.

Fase 3. Sube a quarantine

Cuando los informes muestran que tus fuentes legítimas pasan DMARC de forma sostenida:

v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:dmarc@tudominio.com; adkim=r; aspf=r

Si quieres ir más despacio, existe la etiqueta pct= (porcentaje de mensajes a los que se aplica la política), por ejemplo pct=25. Los grandes receptores la entienden, pero la revisión nueva de la norma DMARC la sustituye por otra etiqueta, así que no construyas tu plan sobre ella: úsala como mucho unos días.

Durante las dos semanas siguientes, vigila dos cosas: los informes (que no aparezcan fuentes legítimas con disposition en quarantine) y las quejas internas («a este cliente no le llegan mis facturas»).

Fase 4. Sube a reject

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@tudominio.com

A partir de aquí, el correo falso con tu dominio se rechaza en la entrega. Sigue leyendo informes: cada servicio nuevo que des de alta debe estar autenticado antes de enviar el primer correo.

Los subdominios

Con sp=reject proteges también los subdominios que no envían correo, que son un objetivo clásico de suplantación (facturas.tudominio.com, soporte.tudominio.com). Si algún subdominio envía de verdad (por ejemplo la newsletter en news.tudominio.com), puede tener su propio registro _dmarc.news.tudominio.com con otra política mientras lo ajustas.

Errores habituales

• Subir a reject sin haber leído informes. Es la forma más rápida de que dejen de llegar las facturas o los correos de la tienda.
• No tener rua=. Estás a ciegas.
• Confiar solo en SPF. Los reenvíos rompen SPF siempre. Con DKIM alineado en todos los servicios, la política estricta da muchos menos sustos.
• Usar alineación estricta sin necesidad. adkim=s y aspf=s exigen coincidencia exacta de dominio; con la relajada (la de por defecto) vale que coincida el dominio principal. Empieza en relajada.
• Olvidar los dominios que no envían correo. Un dominio que no envía nada debería tener v=spf1 -all y v=DMARC1; p=reject directamente: no hay nada que observar.
• Confundir DMARC con entregabilidad. DMARC protege tu dominio de la suplantación. No garantiza que tus correos lleguen a la bandeja de entrada; eso depende también de la reputación y el contenido. Lo vemos en por qué tus correos llegan a spam.

Para agencias: qué clientes siguen en p=none

En la mayoría de carteras, una buena parte de los dominios tiene DMARC en p=none o directamente no tiene DMARC. Es un trabajo concreto y de valor que puedes ofrecer, y conviene saber por dónde empezar.

Jeffrey revisa el correo de cada dominio cada 6 horas. Si el dominio recibe correo (tiene MX) y no tiene DMARC, abre el aviso «El correo del dominio no tiene DMARC»; si lo tiene en p=none, abre el aviso «DMARC solo vigila». Los dos son avisos para revisar con calma, no alertas urgentes, y puedes aplazarlos mientras trabajas el plan con el cliente. El Radar de Jeffrey también lo enseña en su apartado de correo («El DMARC solo observa»), junto con el estado del SPF.

Preguntas frecuentes