Autenticación y DNS
DMARC
DMARC es una regla que publicas en el DNS de tu dominio. Dice a los servidores receptores qué hacer con un correo que usa tu dominio en el remitente pero no pasa las comprobaciones SPF y DKIM. También les dice dónde enviarte informes.
¿Qué es DMARC?
DMARC significa Domain-based Message Authentication, Reporting and Conformance. Es una regla corta que publicas en el DNS de tu dominio. El DNS es el directorio público de internet donde cada dominio guarda su configuración. Un dominio es el nombre que va después de la @, por ejemplo ejemplo.com.
La regla dice dos cosas a los demás servidores de correo:
- Qué hacer con un correo que dice venir de tu dominio pero no pasa las comprobaciones. Puede entregarse, ir a spam o bloquearse.
- A qué dirección enviarte informes sobre los correos que llegan con tu dominio.
DMARC existe porque cualquiera puede escribir cualquier dirección en el campo De de un correo. Esto se llama suplantación de correo. DMARC es la forma de decir a Gmail, Outlook y los demás: "si no es de verdad mío, no lo entregues".
Un ejemplo: un correo falso de facturación
Tu empresa usa el dominio ejemplo.com. Un estafador envía este correo a uno de tus clientes:
- De: facturacion@ejemplo.com
- Asunto: Su factura está vencida
- Texto: Pague hoy en este enlace.
Tu cliente ve ejemplo.com y confía en el correo. Pero tu empresa nunca lo envió. Tu dominio tiene un registro DMARC con p=reject. Esto es lo que pasa:
- El correo falso llega a Gmail.
- Gmail comprueba SPF y DKIM. Ninguno de los dos pasa para ejemplo.com, porque el estafador no usa tus servidores ni tu firma.
- Gmail lee tu registro DMARC. Dice
p=reject. - Gmail bloquea el correo. Tu cliente nunca lo ve.
Tus correos reales sí pasan las comprobaciones, así que se entregan con normalidad.
Cómo decide DMARC si un correo pasa
SPF comprueba qué servidor envió el correo. DKIM comprueba una firma digital dentro del correo. Las dos comprobaciones tienen un hueco. Un estafador puede pasarlas con su propio dominio y, a la vez, poner tu dominio en el campo De.
DMARC cierra ese hueco con una regla. SPF o DKIM debe pasar para el mismo dominio que aparece en el campo De. Esa coincidencia se llama alineación DMARC. Basta con que uno de los dos pase y coincida. Si ninguno lo hace, el correo falla DMARC.
Las tres políticas de DMARC
La política es la parte p= del registro. Tiene tres valores posibles:
| Política | Qué pasa con un correo que falla DMARC | Cuándo usarla |
|---|---|---|
p=none | Nada. Se entrega como siempre y recibes informes. | Al principio, mientras encuentras todos tus servicios de envío. |
p=quarantine | Va a la carpeta de spam. | Cuando todos tus servicios reales ya pasan. |
p=reject | Se bloquea del todo. | Cuando estás seguro de que nada real va a fallar. |
Con p=none tu dominio no está protegido. Solo recibes información. La protección empieza con quarantine. Con reject, los servidores que siguen tu política bloquean el correo falso.
Un registro DMARC sencillo
Un registro DMARC es un registro TXT del DNS. Un registro TXT es una entrada que guarda texto. Va en el nombre _dmarc de tu dominio. Este es un registro para empezar:
_dmarc.ejemplo.com TXT "v=DMARC1; p=none; rua=mailto:informes@ejemplo.com"Cada parte significa algo:
v=DMARC1dice que es un registro DMARC. Siempre va primero.p=nonees la política. Aquí solo pide informes.rua=mailto:informes@ejemplo.comes la dirección donde recibes los informes. Son archivos que dicen qué servidores enviaron correo con tu dominio y si pasaron.
Publica un solo registro DMARC por dominio. Si un servidor encuentra dos, los ignora los dos.
Cómo empezar con DMARC
La mayoría de los dominios siguen tres pasos:
- Publica
p=nonecon una direcciónrua. Lee los informes durante unas semanas. - Encuentra todos los servicios que envían correo con tu dominio, como tu herramienta de boletines o tu sistema de soporte. Configura SPF y DKIM en cada uno hasta que pasen.
- Cambia a
p=quarantine. Si todo va bien, cambia ap=reject.
El generador de DMARC (en inglés) crea el registro por ti. Cada parte del registro y cómo leer los informes están en la guía qué es un registro DMARC.
Quién exige DMARC
Las directrices para remitentes de Google exigen un registro DMARC a quien envía 5.000 o más correos al día a cuentas personales de Gmail. Microsoft exige lo mismo para Outlook.com, Hotmail y Live desde el 5 de mayo de 2025. Los dos aceptan p=none como mínimo.
El estándar actual de DMARC es RFC 9989, publicado en mayo de 2026. Sustituye a RFC 7489. Los registros que empiezan por v=DMARC1 siguen funcionando.
DMARC y verificación de correo
DMARC protege tu dominio de los correos falsos. No dice si las direcciones de tu lista existen. Un correo que pasa DMARC rebota igual si el buzón del destinatario no existe. El verificador de correo comprueba una dirección antes de enviar, y el validador de correos masivos comprueba una lista entera. DMARC y la verificación de correo resuelven dos problemas distintos, y un dominio que envía campañas necesita los dos.
Términos relacionados
- Registro SPFUn registro SPF es una entrada pública del DNS de tu dominio que lista los servidores que pueden enviar correo con ese dominio. Los servidores receptores lo comprueban para confirmar que un correo que dice venir de tu dominio salió de uno de tus servidores.
- DKIMDKIM es una firma digital que tu servidor añade a cada correo que envías. El servidor que lo recibe comprueba la firma para saber que el correo salió de tu dominio y que nadie lo cambió por el camino.
- Email spoofing (suplantación de correo)El email spoofing, o suplantación de correo, es enviar un correo con una dirección de remitente falsa. El correo parece venir de otra persona o empresa, pero lo envió otra persona.
- BIMI (correo electrónico)BIMI es un estándar del correo electrónico que muestra el logo de tu marca junto a tus correos en la bandeja de entrada. Solo funciona si tu dominio tiene DMARC en modo quarantine o reject, y solo en los buzones que lo admiten.
- Registro TXT de DNSUn registro TXT de DNS es una línea de texto guardada en la configuración de tu dominio. Los servidores de correo leen los registros TXT para comprobar SPF, DKIM y DMARC. Otros servicios los leen para confirmar que el dominio es tuyo.