Configurar DMARC y revisar la política de tu dominio

DMARC vincula la autenticación del mensaje con el dominio que ve el destinatario en From. Para superarlo, basta con que SPF pase con alineación o DKIM pase con alineación. Que exista un registro SPF o una clave DKIM no demuestra por sí solo que un mensaje cumpla DMARC.

El dominio publica en DNS qué tratamiento solicita ante un fallo. El receptor conserva la decisión final sobre la entrega.

Antes de crear la política

Inventaría todas las fuentes legítimas: correo habitual, formularios, tienda, CRM, facturación y campañas. Comprueba la autenticación de cada una. Si ya tienes una política DMARC, revisa su motivo antes de reemplazarla: no la debilites para añadir un proveedor.

Edita la zona DNS autoritativa, aunque la web o el correo estén alojados en otra empresa.

Crear el registro

1. En cPanel > Zone Editor, abre Administrar para el dominio. También puedes usar el editor de tu proveedor DNS.
2. Busca si ya existe un TXT en _dmarc y edítalo si corresponde. No publiques dos políticas para el mismo nombre.
3. Utiliza el asistente Add DMARC Record, si aparece, o crea directamente un TXT.
4. Comprueba el nombre final: _dmarc.ejemplo.com, sin duplicar el dominio.

Para una política inicial de observación, un ejemplo es:

v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.com

Sustituye el dominio y crea antes el buzón o receptor de informes. p=none no solicita rechazo ni cuarentena por DMARC; sirve para observar, pero no impide que otros filtros clasifiquen el mensaje como spam.

Elegir la política

No pases a reject hasta comprobar todos los emisores legítimos. Un proveedor que autentica con su propio dominio puede necesitar una firma o dominio de retorno alineado con el tuyo.

sp permite especificar la política de subdominios; revisa su efecto antes de añadirlo. Los modos adkim y aspf controlan si la alineación exige igualdad exacta (strict) o admite el mismo dominio organizativo (relaxed). No actives el modo estricto para «mejorar la nota» sin comprobar los subdominios que utilizan tus emisores.

Informes y campos antiguos del asistente

rua solicita informes agregados. ruf solicita informes de fallo, menos extendidos y que pueden incluir contenido sensible. No es necesario habilitar ruf para empezar.

Algunos asistentes conservan campos heredados como pct, rf o ri. La especificación DMARC de mayo de 2026 los retira; no dependas de ellos para garantizar un porcentaje de aplicación o una frecuencia de informes. La actualización de cada receptor puede variar.

Si los informes se envían a otro dominio organizativo, su receptor debe autorizarlo en DNS. Sigue la guía de informes DMARC y las instrucciones del servicio que los recibe.

Comprobar el resultado

Consulta el TXT público, envía pruebas por cada sistema real y revisa el resultado DMARC de los mensajes. Después analiza los informes de varios ciclos de actividad antes de endurecer la política. Los informes no cubren necesariamente todos los destinatarios ni llegan con una frecuencia garantizada.

Para consultar el TXT publicado puedes usar nuestro comprobador DMARC: muestra el registro de _dmarc, explica cada etiqueta y propone el siguiente paso de la política. Confirma qué política está publicada, no que los mensajes cumplan DMARC; para eso, envía un mensaje real a nuestro test de correo, que comprueba la alineación de SPF y DKIM con el remitente.

Si aparece un problema, identifica el emisor y su alineación antes de borrar DMARC o relajar la política de todo el dominio. Para varios dominios, prepara un inventario por dominio y consulta con soporte el alcance de los cambios; no apliques automáticamente una política restrictiva a todos.