DMARC: qué es, por qué lo piden Gmail y Microsoft y cómo pasar de p=none a reject
El DMARC es un registro de tu DNS que le dice al resto del mundo qué hacer con los correos que dicen ser de tu dominio pero no pasan SPF ni DKIM. Es lo que impide que alguien suplante tu dominio para estafar a tus clientes o proveedores.
¿Es obligatorio?
Desde febrero de 2024 Google (Gmail) y Yahoo exigen DMARC a quienes envían mucho correo a sus usuarios, y Microsoft (Outlook.com, Hotmail) lo exige desde mayo de 2025. Aunque envíes poco, tenerlo mejora la entrega y protege tu marca.
Cómo saber si tienes DMARC
Escribe tu dominio en el comprobador gratis. Por dentro buscamos un registro TXT en _dmarc.tudominio.es que empiece por v=DMARC1.
Un DMARC para empezar
Crea en tu DNS un registro TXT con nombre _dmarc y este valor:
v=DMARC1; p=none; rua=mailto:dmarc@miempresa.es
p=none: de momento solo observa, no bloquea nada.rua=: buzón donde los grandes proveedores te mandan informes diarios de quién envía con tu dominio.
Cómo pasar de p=none a quarantine y reject
Quedarse siempre en p=none es el error más común: tienes DMARC, pero no protege.
1. Semanas 1-4 (p=none): lee los informes y localiza todos los servicios legítimos que envían por ti (hosting, Google/Microsoft, boletines, facturación, CRM).
2. Arregla SPF y DKIM de cada uno hasta que todos aparezcan como «pass» (ver guía de SPF).
3. p=quarantine; pct=25: un 25 % de los correos que fallen irán a spam. Sube a 50 y 100 % si no hay quejas.
4. p=reject: los correos falsos se rechazan. Es el objetivo.
Errores habituales
- Poner el registro en la raíz del dominio en vez de en
_dmarc. - Dos registros DMARC (solo vale uno).
- Un buzón
ruade otro dominio sin la autorización que exige el estándar. - Pasar a
rejectsin revisar los informes y que dejen de llegar las facturas o los formularios de la web.