DMARC: guía completa para proteger tu dominio (DMARC)

Introducción

DMARC (Domain-based Message Authentication, Reporting and Conformance) es la tercera pieza de la autenticación de correo. Mientras SPF y DKIM verifican los correos, DMARC define qué hacer cuando un correo no pasa la verificación. Además, te envía informes sobre quién envía correo con tu dominio.

En este artículo vas a ver qué es DMARC y cómo configurarlo.

Qué es DMARC

DMARC usa SPF y DKIM para decidir qué hacer con los correos que dicen venir de tu dominio pero no son legítimos. Tú defines una política:

• none: no hace nada, solo te envía informes.
• quarantine: manda los correos sospechosos a spam.
• reject: rechaza los correos sospechosos (no llegan ni a spam).

DMARC también te envía informes con todos los correos que se envían con tu dominio, legítimos o no. Es muy útil para detectar suplantaciones.

Antes de empezar

DMARC requiere que tengas SPF y DKIM configurados. Si no los tienes, configúralos primero:

• Guía de SPF en nuestra base de conocimientos.
• Guía de DKIM en nuestra base de conocimientos.

Si configuras DMARC sin SPF ni DKIM, todos tus correos legítimos pueden ir a spam.

Cómo configurar DMARC

DMARC es un registro DNS de tipo TXT con el nombre _dmarc.tudominio.com.

Política none (para empezar)

Empieza siempre con none para recibir informes sin afectar al correo:

v=DMARC1; p=none; rua=mailto:postmaster@tudominio.com

• v=DMARC1: versión de DMARC.
• p=none: política (no hace nada, solo informa).
• rua=mailto:...: dirección donde recibir los informes.

Política quarantine (tras unas semanas)

Cuando veas en los informes que todos tus correos legítimos pasan SPF y DKIM, sube a quarantine:

v=DMARC1; p=quarantine; rua=mailto:postmaster@tudominio.com

Los correos sospechosos van a spam.

Política reject (máxima protección)

Cuando estés seguro de que todo tu correo legitimo pasa las verificaciones:

v=DMARC1; p=reject; rua=mailto:postmaster@tudominio.com

Los correos sospechosos se rechazan directamente. Es la máxima protección.

No pases a reject sin haber estado en none o quarantine antes. Si algún servicio legítimo no pasa SPF/DKIM, perderías sus correos.

Cómo añadir DMARC al DNS

1. Entra a cPanel → Zone Editor o al editor de DNS de tu dominio.
2. Añade un registro TXT:
   • Nombre: _dmarc.tudominio.com.
   • Tipo: TXT.
   • Valor: v=DMARC1; p=none; rua=mailto:postmaster@tudominio.com
3. Guarda.

Los cambios DNS tardan en propagarse entre minutos y 48 horas.

Cómo leer los informes DMARC

DMARC envía informes en formato XML a la dirección que pusiste en rua. Son un poco técnicos, pero te dicen:

• Qué servidores enviaron correo con tu dominio.
• Cuántos pasaron SPF/DKIM.
• Cuántos fallaron.

Para leerlos más fácilmente, usa herramientas como dmarcian o Postmark DMARC.

Los informes te permiten ver si alguien está suplantando tu dominio (phishing) y si algún servicio legítimo no está pasando las verificaciones.

Consejos útiles

• Empieza con p=none. Es lo más seguro para empezar.
• Revisa los informes durante 2-4 semanas. Antes de subir a quarantine o reject.
• No pases a reject de golpe. Puede bloquear correos legítimos.
• Asegúrate de que todos tus servicios de envío pasan SPF y DKIM. Hosting, newsletters, CRM, etc.
• Revisa DMARC periódicamente. Si añades un servicio nuevo, comprueba que pasa las verificaciones.

Preguntas frecuentes

¿DMARC es obligatorio?

No por ley, pero Gmail, Outlook y Yahoo lo exigen desde 2024 para enviar correo en volumen.

¿DMARC cuesta dinero?

No, es gratis. Es un registro DNS.

¿Puedo empezar con reject directamente?

No es recomendable. Si algún servicio legítimo no pasa SPF/DKIM, pierdes sus correos. Empieza con none.

¿Qué pasa si no configuro DMARC?

No afecta a tus correos legítimos, pero no estás protegido contra suplantación y Gmail te penaliza en deliverability.

¿Mi hosting de miHosting tiene DMARC?

No viene por defecto, pero se configura en cPanel en cinco minutos. Si necesitas ayuda, abre un ticket.

DMARC: la protección completa de tu dominio

DMARC es la última pieza de la autenticación de correo. Te protege de phishing, mejora tu deliverability y te da visibilidad sobre quién usa tu dominio. Configurarlo es gratis y, si sigues los pasos (none → quarantine → reject), sin riesgo.

Si necesitas ayuda para configurar DMARC en tu dominio de miHosting, abre un ticket desde tu panel de cliente.