Cómo configurar DMARC paso a paso en 2026

Si aún no tienes DMARC configurado en tu dominio, tu marca está expuesta a phishing y suplantación de identidad por correo electrónico. Y no, tener SPF y DKIM no es suficiente: sin DMARC, cualquiera puede enviar correos "en tu nombre" sin que puedas hacer nada.

En esta guía práctica te explico qué es DMARC, por qué lo necesitas, y cómo configurarlo paso a paso en tu proveedor de DNS, con ejemplos reales y errores comunes a evitar.

1. ¿Qué es DMARC y por qué lo necesitas?

DMARC (Domain-based Message Authentication, Reporting & Conformance) es un estándar de autenticación de correo publicado por tu dominio en forma de registro DNS. Su función es decirle a los servidores de correo receptores (Gmail, Outlook, Apple Mail...) qué hacer cuando reciben un email que dice venir de tu dominio pero no pasa las verificaciones SPF o DKIM.

Sin DMARC, cualquier atacante puede:

• Enviar correos como soporte@tuempresa.com a tus clientes.
• Pedir restablecimientos de contraseña en nombre de tu dominio.
• Suplantar tu marca para estafas (Business Email Compromise).
• Ejecutar campañas de phishing sin que puedas hacer nada.

2. Relación con SPF y DKIM

Los tres registros trabajan juntos, pero hacen cosas distintas:

• SPF (Sender Policy Framework): lista los servidores autorizados a enviar correo desde tu dominio. Se publica en un registro TXT del dominio raíz.
• DKIM (DomainKeys Identified Mail): añade una firma criptográfica a cada correo saliente, que el receptor puede verificar. Se publica en un registro TXT bajo un selector específico.
• DMARC: le dice al receptor qué hacer si SPF y DKIM fallan, y a dónde enviar reportes. Se publica en _dmarc.tudominio.com.

3. Cómo funciona DMARC (flujo simplificado)

Cuando alguien recibe un correo que dice venir de @tudominio.com, el servidor receptor hace lo siguiente:

1. Consulta el registro SPF de tu dominio: ¿la IP del remitente está autorizada?
2. Verifica la firma DKIM: ¿el correo lleva una firma válida?
3. Consulta el registro DMARC: ¿qué hago con este correo?

El registro DMARC puede decir tres cosas:

• p=none: No hagas nada. Solo envíame reportes. Es el modo monitorización.
• p=quarantine: Manda el correo a spam si falla SPF y DKIM.
• p=reject: Rechaza el correo directamente. Es el modo más estricto.

4. Configurar DMARC en 4 pasos

Paso 1 · Antes de empezar: requisitos previos

Necesitas tener configurados SPF y DKIM en tu dominio. Si aún no los tienes, configúralos primero:

• SPF: un registro TXT en el dominio raíz con v=spf1 ....
• DKIM: uno o varios registros TXT bajo selector._domainkey.tudominio.com.

Puedes verificar si los tienes con la auditoría gratuita de Sealgrade: analiza tu dominio y te dice si tienes SPF, DKIM y DMARC en menos de 30 segundos.

Paso 2 · Publica el registro DMARC en modo monitorización

En el panel DNS de tu proveedor (Cloudflare, GoDaddy, Namecheap, IONOS, Route53, etc.), añade un nuevo registro:

Tipo:   TXT
Nombre: _dmarc.tudominio.com
Valor:  v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com; pct=100; adkim=r; aspf=r

Explicación de cada parámetro:

• v=DMARC1: versión del protocolo. Obligatorio.
• p=none: no actuamos todavía, solo monitorizamos.
• rua=mailto:dmarc@tudominio.com: dirección donde recibirás reportes agregados.
• pct=100: aplicar la política al 100% de los correos (durante la fase monitor es irrelevante).
• adkim=r; aspf=r: modo relajado (recomendado al principio).

Paso 3 · Analiza los reportes durante 2-4 semanas

Una vez publicado el registro, tu proveedor DNS no hace nada más. Recibirás correos XML en la dirección rua (normalmente comprimidos en ZIP) con información de quién envía correos en tu nombre.

Los reportes son complicados de leer en crudo. Recomiendo usar un servicio que los procese y te dé un panel visual:

• Postmark DMARC — gratis hasta 100.000 correos/mes.
• dmarcian — tiene plan gratuito para empezar.
• Valimail — enfocado a empresas.

Durante este periodo, identifica:

• ¿Qué servidores envían en nombre de tu dominio?
• ¿Hay fuentes desconocidas? (potencial suplantación).
• ¿Todos tus canales legítimos pasan SPF/DKIM?

Paso 4 · Endurece la política progresivamente

Cuando tengas claro que solo tus fuentes legítimas envían correo, sube la política:

Fase 1 — Cuarentena:

v=DMARC1; p=quarantine; rua=mailto:dmarc@tudominio.com; pct=50

Aplica cuarentena al 50% de los correos sospechosos. Si algo falla, solo afecta a la mitad.

Fase 2 — Cuarentena total:

v=DMARC1; p=quarantine; rua=mailto:dmarc@tudominio.com; pct=100

Fase 3 — Rechazo definitivo (recomendado):

v=DMARC1; p=reject; rua=mailto:dmarc@tudominio.com; ruf=mailto:forense@tudominio.com; pct=100

Con p=reject, los correos fraudulentos se rechazan antes de llegar al buzón del destinatario. Es la configuración objetivo.

5. Ejemplos de registros DNS

Configuración básica (empezar)

_dmarc.tudominio.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com"

Configuración intermedia (fase de endurecimiento)

_dmarc.tudominio.com  TXT  "v=DMARC1; p=quarantine; pct=50; rua=mailto:dmarc@tudominio.com"

Configuración de producción (recomendada)

_dmarc.tudominio.com  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@tudominio.com; ruf=mailto:forense@tudominio.com; pct=100; adkim=s; aspf=s; fo=1"

Parámetros avanzados:

• ruf=: reportes forenses (uno por cada fallo). Muy útil para debug.
• adkim=s; aspf=s: modo estricto (el dominio debe coincidir exactamente).
• fo=1: genera reporte forense cuando cualquiera de los mecanismos falla (no solo los dos).
• sp=reject: aplica la política también a subdominios.

Configuración con subdominios

_dmarc.tudominio.com  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@tudominio.com"

6. Cinco errores comunes

Error 1 · Poner p=reject desde el primer día

Si algún servicio legítimo envía correos en tu nombre (formulario de contacto, facturación, newsletter...) y no lo tienes autorizado en SPF, esos correos serán rechazados. Empieza siempre con p=none.

Error 2 · Olvidar configurar SPF o DKIM primero

DMARC sin SPF o DKIM es papel mojado: no hay nada que verificar, así que DMARC no puede actuar. Configura SPF y DKIM antes de empezar.

Error 3 · No revisar los reportes

El email rua recibe reportes que nadie mira. Usa una herramienta como Postmark DMARC para procesarlos y detectar fuentes no autorizadas.

Error 4 · Poner el registro en el nombre equivocado

El registro DMARC va siempre en _dmarc.tudominio.com. No en tudominio.com, no en dmarc.tudominio.com. Si lo pones mal, el receptor no lo encuentra.

Error 5 · Configurar DKIM pero no publicar el selector

Tu proveedor de correo puede estar firmando los emails con DKIM, pero si no has publicado el selector correspondiente en DNS, el receptor no puede verificar la firma. Revisa los manuales de tu proveedor (Microsoft 365, Google Workspace, Zoho, etc.).

7. Cómo verificar que funciona

Después de publicar el registro, sigue estos pasos:

1. Verifica el registro DNS: usa dig desde terminal o un verificador online:

   dig TXT _dmarc.tudominio.com +short

   Deberías ver el contenido del registro.
2. Envía un correo de prueba desde tu servicio legítimo a una cuenta Gmail. Revisa las cabeceras completas y busca Authentication-Results: debe indicar dmarc=pass.
3. Espera 24-72 horas a recibir el primer reporte agregado.
4. Audita tu dominio con Sealgrade: en 30 segundos te dice si tienes DMARC, SPF y DKIM configurados correctamente, y con qué política.

8. Conclusión

DMARC es una de las medidas de ciberseguridad con mejor relación esfuerzo/beneficio que puedes implementar. En menos de 30 minutos puedes proteger tu marca contra phishing y suplantación, y a partir de 2024 es obligatorio si quieres que tus correos lleguen a Gmail o Outlook.

El resumen en 3 líneas:

1. Configura SPF y DKIM primero.
2. Publica DMARC en modo p=none durante 2-4 semanas.
3. Endurece progresivamente hasta p=reject.

Y si tienes dudas, empieza por auditar tu dominio: te dirá exactamente qué te falta.