Módulo 4 · 4.5
DMARC: qué deben hacer los destinatarios con el correo falso
Módulo 4: Registros para el correo electrónico · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Tras esta lección podrá explicar cómo DMARC combina SPF y DKIM, redactar un registro DMARC válido y endurecer la política paso a paso.
Conceptos clave: DMARC, _dmarc, v=DMARC1, política p=none / quarantine / reject, alineación (alignment), informes rua, sp= y np=, modo de prueba t=, un único registro DMARC
La pieza que falta
SPF (lección 4.3) comprueba desde qué servidor llega un correo, pero se fija en la dirección técnica del sobre (envelope). DKIM (lección 4.4) comprueba una firma, pero esta puede pertenecer a cualquier dominio. Por tanto, un estafador puede enviar un correo con "De: info@example.com" que pase perfectamente el control SPF para su propio dominio y esté firmado correctamente por su propio dominio.
DMARC (Domain-based Message Authentication, Reporting and Conformance) cierra ese círculo. Plantea una sola pregunta: ¿corresponde el control SPF o DKIM superado con el dominio que el destinatario ve en la dirección "De:"? Eso se llama alineación (alignment). Y usted indica a los destinatarios qué deben hacer si la respuesta es no.
DMARC se describió en 2015 en la RFC 7489. En mayo de 2026 apareció la versión revisada como estándar oficial de internet: RFC 9989 (con las RFC 9990 y 9991 para los informes). Los registros existentes con v=DMARC1 siguen siendo válidos.
Cómo decide un destinatario
Si llega un correo con remitente info@example.com, el destinatario hace lo siguiente:
- SPF: ¿el correo procede de un servidor autorizado, y el dominio del sobre corresponde a
example.com? - DKIM: ¿hay una firma válida, y el dominio firmante (
d=) corresponde aexample.com? - DMARC: ¿se ha superado al menos uno de los dos y está alineado? Entonces el correo es correcto. Si no, el destinatario sigue su política.
Con que uno de los dos se cumpla es suficiente. Por eso DKIM es tan importante para servicios que envían con su propia dirección de sobre, como muchos servicios de boletines: en ese caso SPF se supera, pero no para su dominio. Solo una firma DKIM con d=example.com lo hace correcto.
"Corresponde a" significa, por defecto, el mismo dominio organizativo. nieuws.example.com corresponde a example.com. Eso se llama alineación relaxed. Con adkim=s o aspf=s (strict) debe ser exactamente el mismo dominio. Para casi todo el mundo, relaxed es suficiente.
¿Cómo es un registro DMARC?
Un registro DMARC es un registro TXT en el nombre _dmarc de su dominio:
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"Consta de partes (etiquetas) separadas por un punto y coma.
| Etiqueta | Significado |
|---|---|
v=DMARC1 | Esto es un registro DMARC. Debe ir en primer lugar. |
p= | La política para su dominio: none, quarantine o reject. |
rua=mailto:... | Opcional: dirección para informes de resumen diarios. |
sp= | Opcional: otra política para subdominios que existen. |
np= | Opcional (nuevo en la RFC 9989): política para subdominios que no existen, como factuur.example.com si nunca lo ha creado. Los estafadores suelen usar este tipo de nombres. |
adkim= / aspf= | Opcional: r (relaxed, por defecto) o s (strict). |
t=y | Opcional (nuevo en la RFC 9989): modo de prueba. Los destinatarios aplican una política un grado más suave. Sustituye al antiguo pct=. |
Elegir la política
| Política | Qué hace el destinatario |
|---|---|
p=none | Nada. El correo se entrega con normalidad. Sí recibe informes si rellena rua. Esto también se llama monitorización. |
p=quarantine | El correo que no cumple va a la carpeta de spam. |
p=reject | El correo que no cumple se rechaza. La mejor protección contra el uso indebido de su nombre. |
Orden recomendado:
- Primero deje bien configurados SPF y DKIM, para todos los servicios que envían correo en su nombre: su proveedor de correo, su sitio web, su servicio de boletines, su programa de contabilidad, su tienda online.
- Empiece con
p=noney una direcciónrua. Observe durante unas semanas los informes para ver qué servicios envían correo en nombre de su dominio y si lo superan correctamente. - Pase a
p=quarantine, y si todo sigue funcionando bien, pase ap=reject.
Si duda de que todos sus servicios estén bien configurados, no pase directamente a reject. Un servicio olvidado (por ejemplo, el programa que envía sus facturas) dejaría de llegar.
Algunas empresas de hosting configuran de inmediato un registro DMARC estricto (p=reject) en los paquetes nuevos. Esto es seguro mientras todo su correo pase por sus servidores. Si también envía correo a través de otros servicios, compruebe primero el SPF y el DKIM de esos servicios.
Informes
Con rua=mailto:dmarc@example.com recibirá de los grandes destinatarios un resumen diario (un archivo XML) de quién envió correo en nombre de su dominio y si se superó correctamente. Útil, pero técnico. Utilice una dirección aparte para ello; enseguida recibirá varios al día. Existen servicios que hacen los informes legibles.
Si envía los informes a una dirección de un dominio distinto (por ejemplo, un servicio de informes), ese otro dominio debe dar su autorización en su propio DNS. Normalmente el servicio se encarga de ello.
Errores frecuentes
- Dos registros DMARC. Solo puede haber uno en
_dmarc. Con dos, el destinatario actúa como si no tuviera DMARC. Modifique el registro existente. - En el nombre equivocado. El registro corresponde a
_dmarc.example.com, no aexample.comen sí. - Errores tipográficos en las etiquetas.
p=rejectfunciona,p=rejectedopolicy=rejectno. Sin unp=válido, el registro cuenta comop=none. - Activar DMARC antes de que SPF y DKIM estén correctos. En ese caso rechazará su propio correo.
- Comprobar demasiado pronto tras un cambio. Un registro DMARC a veces tiene un TTL largo (por ejemplo, cuatro horas). Tras un cambio, todavía verá el registro antiguo durante un tiempo.
Por qué es importante
Desde febrero de 2024, Gmail y Yahoo exigen a los remitentes de grandes volúmenes de correo (más de unos 5.000 al día) un registro DMARC, como mínimo con p=none, y que SPF o DKIM se superen alineados. Microsoft exige lo mismo desde mayo de 2025 para Outlook.com y Hotmail. También para pequeños remitentes, DMARC mejora la entrega y protege a sus clientes frente a facturas falsas en su nombre.
En la práctica: así se ve en un panel
En este ejemplo usamos DirectAdmin. En Administración de DNS haga clic en el lápiz junto al registro TXT _dmarc, o cree un nuevo registro TXT con nombre _dmarc y elija DMARC en Tipo de registro TXT. En Tipo de política de dominio elija Ninguno, Cuarentena o Rechazar; en Correo electrónico agregado (RUA) introduzca, si lo desea, una dirección de informes. Mi WebOké dispone de una ayuda DMARC similar en la pestaña DNS.
Si su panel no dispone de esta ayuda, cree un registro TXT normal en _dmarc y escriba usted mismo el texto. El resultado es el mismo.
Resumen
- DMARC comprueba si SPF o DKIM se superan para el dominio de la dirección "De:" (alineación).
- El registro está en
_dmarc.<dominio>, empieza porv=DMARC1y tiene una políticap=none,quarantineoreject. - Primero SPF y DKIM para todos los servicios, luego
p=nonecon informes, después endurecer. - Exactamente un registro DMARC por dominio.
Cuestionario
Ejercicio
Ejercicio Z4.5: Buscar un registro DMARC. Busque el registro DMARC de sidn.nl (la web de SIDN, el registro de dominios de .nl en los Países Bajos), o de su propio dominio. Pegue el registro completo e indique qué política (p=) contiene.
Ejercicio O4.5: Configurarlo usted mismo en su zona de práctica. En la zona de práctica enviará los informes a una dirección de práctica fija; en su dominio real utilice una dirección propia. Cree en su zona de práctica <code>.dnspractice.euquarantine (o none si prefiere empezar monitorizando) e informes a dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).
Ejercicio O4.5
Realizará este ejercicio en su propia zona de práctica: una zona DNS real en los servidores de nombres de WebOké, solo para usted. Regístrese con su dirección de correo electrónico. Recibirá un enlace de acceso por correo y volverá después a esta lección. Solo usamos su dirección para el curso.
Para saber más
Los pasos de estos artículos se refieren a los paneles de WebOké; en otros paneles el funcionamiento es similar.
- ¿Qué es DMARC? Explicación en lenguaje sencillo
- Manual de DirectAdmin 5.9: Configurar DMARC
- Crear registro DMARC en DirectAdmin
- Manual de WebOké 5.5: Asistentes DNS: MX, SPF, DMARC, CAA y SRV
- Comprobación pública de correo (SPF, DMARC, MX): https://www.weboke.es/comprobar-correo, y la prueba de correo de internet.nl: https://internet.nl
- RFC 9989 (DMARC), RFC 9990 (informes); histórica RFC 7489