Respuesta rápida
¿Cómo configuro DMARC para mi dominio?
Publique un registro TXT en _dmarc.sudominio con el texto v=DMARC1; p=none; rua=mailto:usted@sudominio, lea los informes agregados durante aproximadamente un mes y luego suba la política a quarantine y, por último, a reject. DMARC está definido por la RFC 9989 desde mayo de 2026. Postelva aloja el registro en su editor DNS gratuito.
Las tres políticas DMARC y qué hace cada una
| Política | Registro | Efecto en un mensaje que no supera DMARC | Cuándo usarla |
|---|---|---|---|
| Monitorizar | v=DMARC1; p=none; rua=mailto:[email protected] | Se entrega como siempre; se le envían informes | Primeras semanas, para ver todos los remitentes |
| Cuarentena | v=DMARC1; p=quarantine; rua=mailto:[email protected] | Se trata como sospechoso, normalmente se envía a spam | Cuando SPF y DKIM pasan en todo su correo legítimo |
| Rechazar | v=DMARC1; p=reject; rua=mailto:[email protected] | Rechazado por el servidor receptor | Cuando los informes ya no muestran ningún fallo legítimo |
Configure DMARC en seis pasos
Confirme primero SPF y DKIM
DMARC necesita que al menos uno de ellos pase y coincida con su dominio From. Publique ambos antes que DMARC, siguiendo las guías de SPF y DKIM.
Elija un buzón para los informes
Cree una dirección como dmarc@sudominio. La RFC 9989 dice que el titular debe configurar un buzón para recibir y analizar los informes agregados.
Publique el registro de monitorización
Añada un registro TXT con el host _dmarc y el valor v=DMARC1; p=none; rua=mailto:dmarc@sudominio.
Lea los informes durante aproximadamente un mes
Los informes llegan aproximadamente una vez al día de los receptores que los envían. Busque correo legítimo que falle la alineación de SPF y DKIM, y corrija esos remitentes.
Pase a quarantine
Cambie p=none a p=quarantine. Manténgalo durante un periodo similar y compare en los informes cómo se trataron los mensajes.
Pase a reject o deténgase en quarantine
Cambie a p=reject cuando los informes estén limpios. Si publica en listas de correo desde este dominio, quédese en quarantine.
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"¿Qué contiene un registro DMARC?
Un registro DMARC es un registro TXT en _dmarc.sudominio que empieza por v=DMARC1 y enumera etiquetas separadas por puntos y coma. La etiqueta de versión va primero y distingue mayúsculas de minúsculas. La RFC 9989 define estas etiquetas: p (política del dominio), sp (política de los subdominios existentes), np (política de los subdominios inexistentes), adkim y aspf (alineación, r para relajada o s para estricta, relajada por defecto), rua (direcciones de informes agregados), ruf (direcciones de informes de fallos), fo (opciones de fallo), t (modo de prueba, y o n) y psd.
Si falta p, el receptor trata la política como none. Si falta sp, la política p cubre los subdominios. Si falta rua, no se generan informes agregados. Un registro mínimo útil tiene por tanto tres partes: la versión, una política y una dirección de informes.
La etiqueta pct, que muchas guías antiguas siguen mostrando, fue eliminada por la RFC 9989 porque rara vez se aplicaba con exactitud salvo en 0 y 100. La etiqueta t la sustituye: t=y se comporta como pct=0 y t=n como pct=100, y n es el valor por defecto. Quite pct de los registros antiguos. El contexto más amplio está en SPF, DKIM y DMARC: diferencias.
¿Qué significa alineación en DMARC?
Alineación significa que el dominio autenticado por SPF o DKIM coincide con el dominio de la dirección From visible. En modo relajado, el predeterminado, basta con que ambos tengan el mismo dominio organizativo, así que mail.example.com se alinea con example.com. En modo estricto deben ser idénticos. La RFC 9989 señala que casi todos los titulares de dominios consideran suficiente la alineación relajada.
Un mensaje supera DMARC cuando SPF o DKIM pasa y está alineado. Basta con uno. Un proveedor de buzón como Proton Mail o Fastmail firma con su propio dominio mediante los registros CNAME de DKIM, así que la alineación se cumple sin trabajo adicional. La trampa es un servicio de terceros que firma con su propio dominio: su DKIM pasa pero no se alinea hasta que configure para él un dominio de firma personalizado.
La RFC 9989 encuentra el dominio organizativo mediante un recorrido del árbol DNS, con un máximo de ocho consultas, en lugar de una lista de sufijos públicos. Para un dominio ordinario en .com o .me esto no cambia nada de lo que usted debe hacer.
¿Cuánto tiempo debo quedarme en p=none?
Quédese en p=none al menos un mes, luego en p=quarantine durante un periodo similar, antes de p=reject. Este es el orden que aconseja la RFC 9989 en sus pautas de despliegue, y coincide con las páginas de ayuda de los proveedores. Mailbox.org empieza su registro de ejemplo en p=none y advierte de que una política estricta fijada demasiado pronto puede rebotar correo legítimo. Proton recomienda p=quarantine y pasar a p=reject cuando el correo legítimo pase.
Según la lectura de Postelva del 12 de noviembre de 2026 de las pautas de DMARC de los 3 proveedores que las publican (Proton Mail, Mailbox.org y Mailfence), 2 empiezan en p=none y 1 recomienda p=quarantine.
Se aplican dos precauciones a p=reject. La RFC 9989 dice que un dominio que lo usa no debe depender solo de SPF y debe firmar con DKIM, porque SPF se rompe con el reenvío. También dice que los dominios cuyos usuarios publican en listas de correo no deberían publicar p=reject en absoluto. Las listas suelen modificar los mensajes, lo que rompe la firma.
¿A dónde van los informes DMARC y qué muestran?
Los informes agregados van a la dirección mailto: de rua, normalmente una vez al día desde cada receptor, y enumeran las fuentes que enviaron correo con su dominio en la línea From. La RFC 9989 exige que los receptores admitan direcciones mailto: y recomienda enviar informes agregados al menos cada 24 horas. Los informes agregados se definen en la RFC 9990.
Los informes de fallos, solicitados con ruf, son copias por mensaje. Muchos receptores los retienen o los censuran por privacidad, así que no cuente con ellos. Si la dirección rua está fuera de su dominio, el titular de ese otro dominio debe autorizarla con un registro TXT en sudominio._report._dmarc.otrodominio que contenga v=DMARC1;, una regla que impide el abuso de buzones de terceros. Para un dominio personal pequeño la lista de fuentes es corta: su proveedor, y poco más.
Para leer lo que publica su DNS antes y después de cada etapa, use los comandos para comprobar los registros MX, SPF, DKIM y DMARC.
¿Necesita mi dominio personal DMARC?
Sí, para cualquier dominio que envíe correo: cuesta un registro TXT y bloquea los mensajes falsificados que usan su nombre. Google exige DMARC, bastando una política none, a los remitentes de más de 5.000 mensajes diarios a cuentas de Gmail, y Microsoft aplica el mismo umbral a Outlook.com. Un buzón personal está muy por debajo de esos límites. El registro sigue indicando a los receptores qué quiere que se haga con una falsificación.
Para un dominio que no envía nada, fije p=reject de inmediato con SPF -all y un null MX. Postelva ofrece una plantilla «sin correo» para ese caso. Para un dominio con buzón, empiece en none. El lado del transporte de la misma protección, el cifrado entre servidores, se trata en cómo configurar MTA-STS y TLS-RPT.
Una definición citable: DMARC es la política DNS que indica a los receptores qué hacer con el correo cuyos resultados de SPF y DKIM no se alinean con el dominio From, y a dónde enviar los informes al respecto.
Preguntas sobre la configuración de DMARC
¿Exige la RFC 9989 p=reject?
No. El estándar define tres políticas y deja la elección al titular del dominio. Aconseja un camino gradual y desaconseja p=reject para dominios cuyos usuarios publican en listas de correo.
¿Cambia la RFC 9989 mi registro DMARC existente?
Los registros siguen empezando por v=DMARC1, así que un registro que funciona sigue funcionando. Se eliminó la etiqueta ri, se quitó pct y se añadieron t, np y psd.
¿Qué pasa si publico p=reject demasiado pronto?
Los receptores rechazan el correo legítimo que no supera la alineación, como una herramienta de boletines olvidada. Los informes con p=none existen para encontrar primero esos remitentes.
¿Puedo usar un buzón gratuito para los informes?
Sí, cualquier buzón que usted lea. Una dirección o alias aparte mantiene los archivos de informes diarios fuera de su bandeja principal.
¿Cuántos registros DMARC puede tener un dominio?
Uno por nombre, en _dmarc.sudominio. Los subdominios pueden tener su propio registro o heredar la política del dominio superior mediante sp.
En resumen
- DMARC es un registro TXT en _dmarc.sudominio que empieza por v=DMARC1.
- La RFC 9989 (mayo de 2026) es la especificación vigente; sustituye a la RFC 7489 y elimina pct.
- Empiece en p=none con una dirección rua y lea los informes durante aproximadamente un mes.
- Luego p=quarantine durante un periodo similar y después p=reject.
- Un mensaje pasa cuando SPF o DKIM pasa y se alinea con el dominio From; la alineación relajada es la predeterminada.
- Un dominio en p=reject no debe depender solo de SPF y no debería usarse con listas de correo.
- Postelva aloja el registro en DNS gratuito; un .com cuesta 12,49 US$/año cada año.
Fuentes (6)
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (consultado el 2026-11-12)
- RFC 7489, DMARC (obsoleta) — RFC Editor (consultado el 2026-11-12)
- SPF, DKIM y DMARC para un dominio personalizado — Mailbox.org (consultado el 2026-11-12)
- Dominio personalizado y protección contra suplantación — Proton (consultado el 2026-11-12)
- Pautas para remitentes de correo — Google Workspace Admin Help (consultado el 2026-11-12)
- Refuerzo de la seguridad del correo: nuevos requisitos para remitentes de gran volumen — Microsoft Tech Community (consultado el 2026-11-12)