El correo electrónico sigue siendo uno de los canales más usados para comunicarse con clientes, pero también uno de los más atacados. El spoofing (suplantación de identidad) es una de las técnicas más comunes: alguien envía correos falsificados "desde tu dominio" y los destinatarios creen que son tuyos. Esto daña tu reputación, engaña a tus clientes y puede arruinar tu negocio. La solución se llama DMARC, y en este artículo te explico qué es, cómo funciona y cómo configurarlo paso a paso.
Qué es DMARC
DMARC son las siglas de Domain-based Message Authentication, Reporting and Conformance (Autenticación, Reporte y Conformidad basada en Dominio). Es una política de seguridad de correo que le dice a los servidores receptores qué hacer cuando reciben un correo que dice venir de tu dominio.
DMARC se construye sobre dos tecnologías previas:
- SPF: verifica que el servidor que envía el correo esté autorizado.
- DKIM: firma digitalmente el correo para garantizar autenticidad e integridad.
DMARC combina ambas y añade:
- Una política: qué hacer si un correo falla SPF o DKIM (aceptar, marcar como spam, rechazar).
- Reportes: información sobre los correos enviados en tu nombre.
- Alineación: comprueba que el dominio visible (From) coincide con el dominio autenticado.
En palabras simples: DMARC es la política que protege tu dominio de suplantación y te da visibilidad sobre quién envía correos en tu nombre.
Por qué DMARC es importante
Sin DMARC, tu dominio está expuesto a:
- Spoofing: cualquiera puede enviar correos "desde" tu dominio.
- Phishing: los atacantes usan tu dominio para engañar a tus clientes.
- Daño reputacional: si tu dominio se usa para spam, tu reputación cae.
- Listas negras: tu dominio puede terminar en listas de spam.
- Correos legítimos en spam: los filtros modernos penalizan dominios sin DMARC.
- Pérdida de clientes: si tus correos no llegan o no son confiables, pierdes oportunidades.
En resumen: DMARC es el estándar de protección de correo moderno. Gmail, Outlook y Yahoo lo exigen cada vez más, y sin él tus correos tienen muchas más probabilidades de ir a spam o ser rechazados.
Cómo funciona DMARC paso a paso
El proceso es más simple de lo que parece:
- Configuras SPF y DKIM en tu dominio.
- Publicas un registro DMARC en tu DNS con una política.
- Alguien envía un correo "desde" tu dominio.
- El servidor receptor verifica SPF y DKIM.
- Consulta el registro DMARC de tu dominio.
- Aplica la política que definiste:
- none: no hace nada (solo monitorea).
- quarantine: marca el correo como spam.
- reject: rechaza el correo directamente.
- Te envía reportes sobre los correos enviados en tu nombre.
Todo esto ocurre en milisegundos, de forma invisible para ti y para el destinatario.
Cómo se ve un registro DMARC
Un registro DMARC es un registro TXT en tu DNS con el nombre _dmarc.tuweb.com. Ejemplo:
v=DMARC1; p=quarantine; rua=mailto:dmarc@tuweb.com; ruf=mailto:dmarc@tuweb.com; pct=100
Cada parte significa:
| Elemento | Significado |
|---|---|
v=DMARC1 |
Versión de DMARC. Siempre es DMARC1. |
p= |
Política para el dominio: none, quarantine, reject. |
sp= |
Política para subdominios (opcional). |
rua= |
Dirección para reportes agregados. |
ruf= |
Dirección para reportes forenses (opcional). |
pct= |
Porcentaje de correos a los que se aplica la política. |
adkim= |
Alineación DKIM: r (relaxed) o s (strict). |
aspf= |
Alineación SPF: r (relaxed) o s (strict). |
Para empezar, usa p=none para monitorear, y luego pasa a p=quarantine y p=reject.
Las tres políticas DMARC explicadas
1. p=none (monitoreo)
No hace nada con los correos que fallan SPF o DKIM. Solo te envía reportes. Se usa al principio para ver qué está pasando con tu dominio antes de aplicar políticas estrictas.
Úsala cuando: estás empezando, quieres monitorear antes de aplicar políticas.
2. p=quarantine (cuarentena)
Marca los correos que fallan SPF o DKIM como spam. No los rechaza, pero los envía a la carpeta de spam del destinatario.
Úsala cuando: ya sabes qué correos legítimos envías y quieres proteger tu dominio sin rechazar posibles correos válidos.
3. p=reject (rechazar)
Rechaza directamente los correos que fallan SPF o DKIM. Es la política más estricta.
Úsala cuando: estás seguro de que todos tus correos legítimos pasan SPF y DKIM. Es el estándar recomendado a largo plazo.
DMARC, SPF y DKIM: las tres juntas
DMARC no funciona solo: necesita SPF y DKIM. Juntas forman un sistema completo:
| Tecnología | Qué hace |
|---|---|
| SPF | Verifica que el servidor que envía el correo esté autorizado. |
| DKIM | Firma digitalmente el correo para garantizar autenticidad e integridad. |
| DMARC | Define qué hacer si SPF o DKIM fallan, y te envía reportes. |
Sin SPF y DKIM, DMARC no puede funcionar. Configura las tres en orden.
Cómo configurar DMARC paso a paso
Paso 1 — Configura SPF y DKIM primero
Antes de DMARC, asegúrate de que SPF y DKIM estén bien configurados y funcionando. Usa herramientas como MXToolbox o Mail-Tester para verificarlo.
Paso 2 — Crea un email para reportes
Crea una dirección de correo para recibir los reportes DMARC, por ejemplo dmarc@tuweb.com. Puedes usar un servicio externo si prefieres no gestionarlo tú.
Paso 3 — Empieza con p=none
Publica un registro DMARC en tu DNS con política none:
_dmarc.tuweb.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@tuweb.com"
Así monitoreas sin afectar a los correos legítimos.
Paso 4 — Analiza los reportes
Los reportes DMARC llegan a tu correo en formato XML. Son difíciles de leer directamente, así que usa herramientas para procesarlos:
- DMARC Report: dmarc-report.com (gratis).
- Postmark DMARC Digest: para Gmail.
- Valimail: servicio profesional.
- URIports: alternativa completa.
- MXToolbox DMARC Lookup: para verificar tu registro.
Los reportes te dicen:
- Qué servidores envían correos en tu nombre.
- Si pasan SPF y DKIM.
- Cuántos correos son legítimos y cuántos no.
Paso 5 — Pasa a p=quarantine
Cuando estés seguro de que todos tus correos legítimos pasan SPF y DKIM, cambia la política:
_dmarc.tuweb.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@tuweb.com; pct=25"
Empieza con pct=25 (aplica a 25% de los correos) y sube gradualmente.
Paso 6 — Pasa a p=reject
Cuando estés seguro, sube a la política más estricta:
_dmarc.tuweb.com TXT "v=DMARC1; p=reject; rua=mailto:dmarc@tuweb.com; pct=100"
Esto rechaza cualquier correo que falle SPF o DKIM. Protege tu dominio al máximo.
Paso 7 — Verifica
Usa herramientas para verificar que tu DMARC está bien configurado:
- MXToolbox DMARC Lookup: mxtoolbox.com/dmarc.aspx
- DMARC Analyzer: dmarcanalyzer.com
- Global DMARC Lookup: dmarcian.com/dmarc-inspector/
- Valimail DMARC Inspector.
Errores comunes con DMARC
- No tener SPF y DKIM configurados antes de DMARC.
- Empezar con p=reject sin monitorear antes.
- No incluir todos los servicios que envían correos en tu nombre en SPF/DKIM.
- No configurar DMARC en subdominios (usan sp=).
- No revisar los reportes periódicamente.
- Ignorar los errores que aparecen en los reportes.
- No actualizar DMARC cuando cambias de proveedor.
- Sintaxis incorrecta en el registro TXT.
- Usar direcciones de correo inválidas para los reportes.
- No tener un plan de reversión si algo falla.
DMARC y el spoofing: cómo protege tu dominio
El spoofing ocurre cuando alguien envía correos falsificados "desde tu dominio". Sin DMARC, el receptor no puede saber si el correo es legítimo o no.
Con DMARC configurado correctamente:
- Los correos legítimos pasan porque están firmados con DKIM y enviados desde servidores autorizados en SPF.
- Los correos falsificados se rechazan porque fallan SPF o DKIM.
- Tu marca queda protegida de suplantación.
- Tus clientes confían en los correos que reciben.
DMARC es la defensa más efectiva contra el spoofing.
DMARC en WordPress
Si tu WordPress envía correos (confirmaciones, recuperación de contraseña, avisos), deberías proteger esos correos también:
- Instala un plugin como WP Mail SMTP o Fluent SMTP.
- Configúralo con un proveedor SMTP externo (Gmail, Zoho, Brevo).
- El proveedor te dará los registros SPF y DKIM.
- Publica DMARC en tu DNS.
- Verifica que los correos de WordPress pasan DMARC.
Herramientas para gestionar DMARC
Los reportes DMARC son complicados de leer. Estas herramientas los procesan y te dan información clara:
- DMARC Report: dmarc-report.com (gratis).
- Postmark DMARC Digest: resumen diario en tu correo.
- Valimail: servicio profesional completo.
- dmarcian: herramienta profesional.
- URIports: alternativa más económica.
- MXToolbox: para verificar tu registro.
Para empezar, DMARC Report o Postmark DMARC Digest son suficientes y gratis.
Preguntas frecuentes sobre DMARC
¿Qué pasa si no tengo DMARC?
Tu dominio es vulnerable a spoofing, tus correos pueden ir a spam con más facilidad, y los atacantes pueden usar tu dominio para estafar a tus clientes sin que sea detectado.
¿DMARC es obligatorio?
No técnicamente, pero sí es altamente recomendado. Gmail, Outlook y Yahoo exigen cada vez más DMARC para aceptar correos. Sin DMARC, tus correos tienen muchas más probabilidades de ir a spam.
¿Cuánto tarda en propagarse DMARC?
Depende del TTL del DNS. Normalmente entre unos minutos y algunas horas. En casos raros puede tardar hasta 24-48 horas.
¿Necesito SPF y DKIM para DMARC?
Sí. DMARC se apoya en SPF y DKIM. Sin ellos, DMARC no puede funcionar correctamente. Configúralos en orden: SPF primero, luego DKIM, luego DMARC.
¿Qué diferencia hay entre p=none, p=quarantine y p=reject?
- none: solo monitorea, no aplica ninguna acción.
- quarantine: envía los correos que fallan a la carpeta de spam.
- reject: rechaza directamente los correos que fallan.
Empieza con none, pasa a quarantine, termina en reject.
¿Qué son los reportes DMARC?
Son informes que los servidores receptores te envían sobre los correos enviados en tu nombre. Incluyen información sobre cuántos pasaron SPF y DKIM, cuántos fallaron, y desde qué servidores.
¿Cómo interpreto los reportes DMARC?
Son archivos XML complicados. Usa herramientas como DMARC Report, Postmark DMARC Digest o dmarcian para procesarlos y verlos de forma clara.
¿Puedo tener DMARC con cualquier proveedor de correo?
Sí. DMARC se configura en el DNS de tu dominio, independientemente del proveedor de correo. Casi todos los proveedores serios soportan DMARC.
¿DMARC afecta al SEO?
No directamente. Pero si tus correos no llegan, pierdes oportunidades de negocio, lo que indirectamente afecta a tu proyecto. Además, un dominio con mala reputación de correo puede afectar a otras comunicaciones.
¿DMARC protege contra phishing?
Ayuda a prevenirlo, pero no es suficiente. DMARC garantiza que los correos que dicen venir de tu dominio realmente vengan de servidores autorizados. Pero el phishing puede ocurrir incluso con DMARC si el usuario hace clic en un enlace malicioso. La educación del usuario sigue siendo clave.
¿Qué hago si mi DMARC falla?
Revisa:
- Que SPF esté bien configurado.
- Que DKIM esté bien configurado.
- Que el registro DMARC esté publicado correctamente.
- Que todos tus servicios de correo estén incluidos en SPF/DKIM.
- Que no haya errores de sintaxis.
Usa MXToolbox o dmarcian para diagnosticar.
¿Puedo usar p=none para siempre?
Puedes, pero no es recomendable. p=none no protege tu dominio, solo monitorea. El objetivo final es llegar a p=reject, que es la política que realmente protege.
¿Cuándo debo pasar de p=none a p=quarantine o reject?
Cuando estés seguro de que todos tus correos legítimos pasan SPF y DKIM. Revisa los reportes DMARC durante 2-4 semanas antes de subir de política.
Conclusión: DMARC es la protección definitiva de tu correo
DMARC es la tecnología de autenticación de correo más completa. Protege tu dominio de spoofing, mejora tu reputación como remitente y garantiza que tus correos lleguen a la bandeja de entrada.
Configurarlo es un proceso en tres pasos:
- Configura SPF y DKIM correctamente.
- Publica un registro DMARC con p=none para monitorear.
- Sube gradualmente a p=quarantine y p=reject.
Con DMARC bien configurado, tus correos son confiables, tu dominio está protegido y tus clientes reciben todo lo que les envías.
En Hosting Mambí ofrecemos correo profesional con tu dominio incluido en todos los planes, y te ayudamos con la configuración de SPF, DKIM y DMARC. Ver planes de hosting o crear una cuenta gratis.