Cómo configurar DMARC: guía paso a paso

DMARC (Domain-based Message Authentication, Reporting & Conformance) indica a los servidores de correo receptores qué hacer cuando los correos de tu dominio no superan la autenticación. Se apoya en SPF y DKIM para darte control y visibilidad sobre tu correo.

SPF comprueba el servidor que envía, DKIM comprueba la firma y DMARC decide qué ocurre cuando alguno de los dos falla.

Requisitos previos

Antes de configurar DMARC deberías tener:

SPF record configurado para tu dominio
la firma DKIM configurada con tu proveedor de correo

DMARC funciona comprobando que al menos uno de SPF o DKIM está alineado con el dominio del From:.

Paso 1: crear un registro DMARC de monitorización

Start with p=none — así solo monitorizas, sin rechazar ningún correo. Añade un registro TXT en _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:[email protected]

Esto indica a los servidores receptores que envíen informes agregados a tu dirección de correo.

Paso 2: revisar los informes

Al cabo de unos días recibirás informes XML que muestran qué servidores envían correo desde tu dominio y si superan SPF/DKIM. Revísalos para asegurarte de que tu correo legítimo se autentica bien.

Usa un analizador de informes DMARC (hay muchas opciones gratuitas) para convertir el XML en un formato legible.

Paso 3: pasar a cuarentena

Cuando tu correo legítimo supere la autenticación de forma constante, cambia a p=quarantine:

v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]

The pct=10 significa aplicar la política solo al 10 % del correo que falla. Ve subiéndolo hasta el 100 % a medida que ganes confianza.

Paso 4: aplicar con reject

La política más estricta: los correos que fallan se rechazan directamente:

v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]

Parámetros del registro DMARC

Tag	Example	Description
`p`	`p=reject`	Política: none, quarantine o reject
`sp`	`sp=quarantine`	Política para subdominios (si se omite, hereda p)
`pct`	`pct=50`	Porcentaje de correo al que se aplica la política (1-100)
`rua`	`rua=mailto:[email protected]`	Destino de los informes agregados
`ruf`	`ruf=mailto:[email protected]`	Destino de los informes forenses (de fallo)
`adkim`	`adkim=s`	Alineación DKIM: s (estricta) o r (relajada)
`aspf`	`aspf=r`	Alineación SPF: s (estricta) o r (relajada)

La alineación de DMARC explicada

DMARC exige «alineación»: el dominio de la cabecera From: del correo debe coincidir con el dominio usado en la autenticación SPF o DKIM:

Relaxed (r) — se permiten subdominios (valor por defecto). mail.example.com aligns with example.com
Strict (s) — se exige coincidencia exacta. mail.example.com NO está alineado con example.com

Errores habituales

Pasar directamente a p=reject sin monitorizar antes: el correo legítimo puede fallar
Colocar el registro en la raíz del dominio en lugar de en _dmarc.yourdomain.com
No configurar antes SPF y DKIM
Olvidar incluir rua — sin informes no puedes vigilar qué está pasando

Comprueba tu registro DMARC

Usa el comprobador de seguridad del correo para verificar que tu DMARC está bien configurado:

Comprobar tu DMARC →← ¿Qué es SPF?

Pruébalo en tu dominio

Ve la teoría en la práctica: ejecuta Comprobación de seguridad del correo para tu propio dominio.