Qué es DMARC y por qué p=none no te protege de nada

Qué es

Cuando un correo llega a Gmail, a Outlook o a Yahoo, el buzón hace dos comprobaciones sobre el dominio del remitente: si el servidor que lo envía tiene permiso para hacerlo (eso es SPF) y si el mensaje lleva una firma válida de ese dominio (eso es DKIM). DMARC es la tercera pieza. Es un registro que tú publicas en el DNS de tu dominio y que responde a una sola pregunta: si un correo dice venir de tu dominio y no supera esas comprobaciones, ¿qué hace el buzón con él?

Tiene tres respuestas posibles, que se llaman políticas:

• p=none: nada. El buzón entrega el correo como siempre y te manda un informe.
• p=quarantine: lo aparta. Normalmente, a la carpeta de spam.
• p=reject: lo rechaza. El correo no entra.

El registro vive en un nombre fijo, _dmarc.tudominio.com, y es una línea de texto. Esta es la más corta que tiene sentido:

v=DMARC1; p=none; rua=mailto:informes@tudominio.com

La parte rua es la dirección a la que los buzones envían cada día un resumen de lo que han visto con tu dominio: desde qué servidores llegó correo, cuánto, y si pasó o no las comprobaciones. Esos informes son la parte más valiosa de DMARC, y la que casi nadie lee.

Un detalle que explica muchos disgustos: DMARC no mira solo si SPF o DKIM pasan. Mira si pasan con tu dominio. Que tu herramienta de newsletters firme los correos con su propio dominio no te sirve aquí. Tiene que firmar con el tuyo, o enviar con un remitente de sobre que sea tuyo. A eso se le llama alineación, y es lo que de verdad hay que configurar en cada herramienta.

Por qué te importa

Dos cosas, y las dos afectan al negocio, no al técnico.

La primera es la suplantación. Sin DMARC, o con p=none, cualquiera puede enviar un correo con tu dominio como remitente, y el buzón de destino no tiene instrucciones para frenarlo. Pasa más de lo que parece. Lo contamos más abajo con cifras.

La segunda es la reputación. Gmail y Yahoo exigen DMARC desde 2024 a quien envía más de cinco mil correos al día, y Outlook desde 2025. Pero el efecto no es solo para los grandes. Los buzones tratan mejor a los dominios que tienen las tres piezas bien puestas, y peor a los que no. Un dominio con DMARC en rechazo y sus herramientas alineadas tiene más fácil llegar a la bandeja de entrada que uno sin nada.

Hay una tercera, menos conocida: los informes. Con p=none ya los recibes, y en ellos se ve quién está enviando con tu dominio. Muchas empresas descubren ahí una herramienta que habían olvidado, o un servidor que no era suyo.

Cómo se hace

1. Comprueba qué tienes. En el panel de tu DNS (normalmente donde compraste el dominio, o donde está alojada tu web), busca un registro de tipo TXT con el nombre _dmarc. Si no existe, no tienes DMARC. Si existe y empieza por v=DMARC1; p=none, estás en observación.
2. Antes de subir, pon en orden SPF y DKIM. Cada herramienta que envía con tu dominio (el correo de la empresa, la newsletter, la tienda, la facturación) tiene que estar autorizada en SPF o firmar con tu dominio. Si subes la política con una herramienta sin alinear, sus correos son los que acabarán en spam o rechazados.
3. Empieza en observación y lee los informes. Publica el registro con p=none y una dirección en rua. Dos o tres semanas suelen bastar para ver todas tus herramientas, también las que envían poco.
4. Sube por etapas, cuando todo lo tuyo pase. Primero cuarentena, y conviene unos días de prueba para comprobar que nada legítimo cae. Después, rechazo. Entre etapa y etapa, los informes dicen si ha cambiado algo.
5. No olvides los subdominios. sp fija la política de tus subdominios y np la de los subdominios que no existen. Alguien puede enviar como facturas.tudominio.com aunque ese nombre no exista. Cerrarlos no cuesta nada cuando ninguno envía correo.

Un registro completo, al final del camino, se parece a este:

v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:informes@tudominio.com

Lo que vemos en los dominios que vigilamos

Cifras de octubre de 2026, sobre los dominios que han pasado por nuestro diagnóstico (es gratis y lo hacen negocios de todos los tamaños). Son proporciones, agregadas y anónimas.

• Tres de cada cuatro llegan sin protección real. El 11 % no tenía DMARC y el 63 % lo tenía en p=none. Muchos creían tener el dominio protegido porque alguien les puso el registro en observación y ahí se quedó, a veces durante años.
• Uno de cada seis recibe suplantación. En los últimos 30 días, en uno de cada seis dominios de los que vigilamos hubo correo que se hacía pasar por él, sin ninguna relación con sus servidores ni con sus herramientas. En los dominios con la protección ya activa, los buzones frenaron esos correos. En los que seguían en observación, llegaron a sus destinatarios.
• Lo que falla al subir no suele ser tuyo. El miedo más común al pasar a rechazo es perder correo legítimo. Lo que falla de verdad son casi siempre copias: un destinatario que se reenvía tu newsletter a otra cuenta, o una pasarela de seguridad delante de su buzón que reinyecta el mensaje y rompe la firma. En casi todos los dominios de nuestra cartera eso está por debajo del 1 % del correo. Donde se sale es en quien envía a administraciones públicas, cuyas pasarelas hacen justo eso, y ahí llega al 3 %. Y Gmail reconoce buena parte de los reenvíos: aunque la política diga rechazo, los manda a cuarentena en vez de rechazarlos en seco.
• Los informes llegan con un día de retraso, y los de Microsoft con dos. Un correo enviado hoy aparece en los informes de mañana. Por eso una subida de política no se puede valorar a los dos días de hacerla: todavía no hay datos.
• El DMARC de «tu» herramienta. Algunas plataformas de newsletters y de automatización piden en su asistente que publiques un DMARC suyo, con los informes dirigidos a ellas. Si ya tienes el tuyo, sustituirlo rompe la política que tenías y deja de llegarte información. Hemos visto dominios perder sus informes durante días por esto. Lo que la herramienta necesita es que exista un DMARC, no que sea el suyo.
• Los tiempos reales. Subiendo por etapas y con los datos mandando, la mayoría de los dominios llega al rechazo en siete u ocho semanas desde que empiezan. Con poco volumen de envío tarda algo más, porque hacen falta informes suficientes para decidir con seguridad.