DMARC explicado
¿Qué es exactamente DMARC?
DMARC es el tercer pilar de la autenticación del correo, el que lo engloba todo, por encima de SPF y DKIM. El nombre significa Domain-based Message Authentication, Reporting and Conformance. SPF y DKIM comprueban cada uno una parte (qué servidor puede enviar y si el mensaje no se ha modificado), pero no dicen nada sobre lo que debe pasar si esa comprobación falla. Ese hueco lo cubre DMARC.
DMARC hace dos cosas a la vez. Fija una política: ¿qué debe hacer el destinatario con un mensaje que no supera SPF ni DKIM? Y organiza los informes: recibes con regularidad resúmenes de quién envía en nombre de tu dominio, también de quienes lo hacen sin derecho.
Aquí entra en juego un concepto importante: la alineación (alignment). DMARC no solo exige que SPF o DKIM se superen, sino también que el dominio de esa comprobación coincida con el dominio que el lector ve en el remitente. Así evitas que alguien con una firma válida de otro nombre parezca, aun así, enviar correo en tu nombre.
¿Qué hace DMARC por ti?
DMARC te aporta tres cosas realmente útiles.
- Control sobre los abusos. Tú decides qué pasa con el correo falsificado que se hace pasar por tu dominio. Así pones mucho más difícil la suplantación (spoofing) y el phishing en tu nombre.
- Visibilidad gracias a los informes. Los informes muestran qué servidores envían correo en nombre de tu dominio. Muy útil para reconocer las fuentes legítimas y detectar abusos.
- Mejor entregabilidad y más confianza. Una política DMARC correcta da a los grandes proveedores de correo una garantía adicional de que tu correo es auténtico.
Desde 2024, los grandes proveedores de correo piden a quienes hacen envíos masivos que publiquen al menos una política DMARC. Si tu correo acaba de todos modos en el spam, lee también por qué tu correo acaba en el spam.
¿Cómo se configura bien DMARC?
Un registro DMARC es un registro DNS de tipo TXT en _dmarc.tudominio.eu. Contiene tu política y la dirección a la que pueden enviarse los informes.
Un ejemplo simplificado:
v=DMARC1; p=none; rua=mailto:informes@tudominio.eu
v=DMARC1indica que se trata de un registro DMARC.p=es tu política:none(solo observar),quarantine(al spam) oreject(rechazar).rua=es la dirección a la que van los informes agregados.
Lo recomendable es avanzar con calma:
- Empieza con
p=none. Todavía no cambias nada en la entrega, pero recopilas informes. - Mira en esos informes qué fuentes envían en tu nombre y asegúrate de que todas las legítimas superan SPF y DKIM.
- Pasa después a
p=quarantiney, por último, ap=rejecten cuanto estés seguro de que ya no se pierde nada legítimo.
A qué prestar atención:
- No pongas nunca DMARC directamente en
reject. Sin observar primero, te arriesgas a que se rechace tu propio correo. - Asegúrate primero de que SPF y DKIM son correctos. DMARC se apoya en ellos; si no están bien, DMARC resulta contraproducente.
- Lee tus informes. Los informes son la mitad de la utilidad de DMARC; no los ignores.
Si quieres hacerlo tú mismo, sigue la guía aparte para configurar el registro DMARC. Encontrarás una definición breve en el glosario, en qué es DMARC.
DMARC se apoya en SPF y DKIM
DMARC solo funciona si las dos capas de debajo están en orden: SPF determina qué servidores pueden enviar, DKIM firma tus mensajes y DMARC lo une todo con una política y unos informes. Los tres juntos se configuran con la guía para configurar SPF, DKIM y DMARC juntos.
Cómo lo resuelve Mailflux por ti
En Mailflux no tienes que redactar políticas ni descifrar informes. Nosotros gestionamos SPF, DKIM y DMARC para tu dominio y vigilamos la reputación de IP de nuestros servidores de envío, para que tu correo llegue como fiable y tu nombre siga protegido. Además, todos los planes filtran el spam, el phishing y el malware con aprendizaje automático (machine learning), con antivirus, antispam, antimalware y copias de seguridad automáticas de serie.
Tienes correo profesional con tu propio dominio, alojado en Europa y conforme al RGPD, con verificación en dos pasos opcional. La política entre bastidores la gestionamos nosotros.
FAQ
Preguntas frecuentes
¿Qué diferencia hay entre DMARC, SPF y DKIM?
SPF determina qué servidores pueden enviar en tu nombre, DKIM firma tu mensaje para que se note cualquier manipulación y DMARC une ambos: vincula la comprobación al remitente visible y determina qué pasa cuando una comprobación falla. DMARC añade además informes sobre quién envía correo en tu nombre.
¿Qué significan `p=none`, `quarantine` y `reject`?
Es tu política DMARC. none no cambia nada en la entrega y solo te permite observar a través de los informes. quarantine envía al spam el correo que no supera la comprobación. reject lo rechaza por completo. Avanzas de none a reject en cuanto estás seguro de que no se pierde correo legítimo.
¿Qué hago con los informes DMARC?
Los informes muestran qué servidores envían correo en nombre de tu dominio, incluido el uso indebido. Los usas para comprobar si todas tus fuentes legítimas superan SPF y DKIM, y para detectar abusos. Solo cuando eso cuadra, endureces tu política paso a paso.