¿Qué es DMARC?

También llamado: Domain-based Message Authentication, Reporting and Conformance

Definición

DMARC es un registro DNS que indica qué deben hacer los servidores de correo con los mensajes que dicen venir de tu dominio pero no superan SPF ni DKIM, y a dónde enviarte informes sobre ellos.

SPF y DKIM comprueban cosas técnicas, pero ninguno de los dos exige que coincidan con la dirección del campo «De:» que ve el usuario. DMARC añade esa pieza: un correo pasa DMARC si supera SPF o DKIM y el dominio comprobado coincide con el del «De:» (lo que se llama alineación). Además, el dueño del dominio decide qué hacer con lo que falla y recibe informes.

Ejemplo

DMARC se publica como un registro TXT en el subdominio _dmarc:

_dmarc.example.com.  3600  IN TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

v=DMARC1 — es un registro DMARC.
p=none — la política: de momento, no hacer nada, solo informar.
rua=mailto:... — dirección a la que llegan los informes diarios agregados.

$ dig _dmarc.example.com TXT +short
"v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Las tres políticas

Política	Qué pasa con el correo que falla
`p=none`	Se entrega como siempre; solo recibes informes
`p=quarantine`	Se manda a la carpeta de spam
`p=reject`	Se rechaza y no llega

Cómo activarlo sin perder correo

Empieza con p=none y revisa los informes durante unas semanas. Verás qué servicios envían en tu nombre (el CRM, la factura electrónica, la web…).
Corrige SPF y DKIM de cada uno hasta que todo lo legítimo pase.
Sube a p=quarantine y, cuando estés seguro, a p=reject.

Los informes llegan en XML y son difíciles de leer a mano; hay servicios gratuitos que los resumen.

Por qué importa

Desde 2024, Gmail y Yahoo exigen un registro DMARC (aunque sea con p=none) a quienes envían grandes volúmenes de correo, y tenerlo mejora la entrega para cualquier dominio. También impide que otros usen tu dominio para hacer phishing cuando la política es quarantine o reject.

Errores habituales

Poner p=reject el primer día y bloquear facturas o avisos que enviaba un servicio que no conocías.
Publicar el registro en example.com en vez de en _dmarc.example.com.
Usar en rua una dirección de otro dominio sin que ese dominio lo autorice: esos informes no se enviarán.

¿Tienes un producto o servicio relacionado con DMARC? Anúnciate en este término.

Términos relacionados

Categorías: Correo Seguridad