DMARC: qué es, cómo funciona y cómo configurarlo
Qué es, qué política elegir y cómo crear el registro en tu DNS
DMARC es un protocolo que le dice a Gmail, Outlook o Yahoo qué hacer con un email que dice venir de tu dominio pero no supera la autenticación. Puede entregarlo igualmente, mandarlo a spam o rechazarlo.
También te envía informes con todos los servidores que usan tu dominio. Así descubres si alguien lo está suplantando.
Piensa en el portero de un edificio. SPF y DKIM le enseñan la acreditación; DMARC es la orden que le has dado sobre qué hacer con quien no la trae.
¿Qué es DMARC?
Son las siglas de Domain-based Message Authentication, Reporting and Conformance. Se publicó como RFC 7489 en 2015, tras el trabajo de un grupo de empresas que incluía a Google, Microsoft, Yahoo y PayPal.
No sustituye a SPF ni a DKIM: se apoya en ellos. El SPF comprueba qué servidores pueden enviar en nombre de tu dominio. El DKIM firma cada mensaje para demostrar que no se ha modificado.
DMARC añade dos cosas que les faltaban: una política para los correos que fallan y un sistema de informes.
¿Cómo funciona DMARC?
Cada vez que llega un email, el servidor del destinatario sigue estos pasos.
1. Lee el dominio del remitente
Mira el dominio que aparece en el campo «De» (From), el que ve la persona que recibe el correo.
2. Comprueba SPF y DKIM
Verifica si el servidor que envía está autorizado por SPF y si la firma DKIM es válida.
3. Comprueba la alineación
Este es el paso que hace única a esta norma. No basta con que SPF o DKIM den «pass»: el dominio que autentican tiene que coincidir con el del campo «De».
Si al menos uno de los dos pasa y está alineado, el mensaje supera DMARC.
4. Aplica tu política y registra el resultado
Si el mensaje falla, el receptor aplica la política que has publicado. Después incluye el resultado en el informe que te envía.
Las tres políticas de DMARC
La política se indica con la etiqueta p= y tiene tres valores posibles:
| Política | Qué pasa con los emails que fallan | Cuándo usarla |
|---|---|---|
| p=none | Se entregan con normalidad, solo recibes informes | Al empezar, para ver quién envía con tu dominio |
| p=quarantine | Van a la carpeta de spam | Cuando ya has revisado los informes y tus envíos legítimos pasan |
| p=reject | Se rechazan y no llegan | Cuando tienes todo bajo control y quieres la máxima protección |
Lo recomendable es avanzar poco a poco: empieza con none, revisa los informes unas semanas y sube a quarantine y después a reject.
Qué contiene un registro DMARC
El registro es un TXT que se publica en _dmarc.tudominio.com. Un ejemplo completo:
v=DMARC1; p=quarantine; rua=mailto:informes@tudominio.com; pct=100
Estas son las etiquetas más habituales:
| Etiqueta | Qué indica | Ejemplo |
|---|---|---|
| v | Versión del protocolo (obligatoria) | v=DMARC1 |
| p | Política para tu dominio (obligatoria) | p=none |
| rua | Dirección que recibe los informes agregados | rua=mailto:informes@tudominio.com |
| pct | Porcentaje de correos a los que se aplica la política | pct=50 |
| sp | Política para los subdominios | sp=reject |
| adkim / aspf | Alineación estricta (s) o flexible (r) | adkim=r |
Solo puede haber un registro de este tipo por dominio. Si publicas dos, los receptores los ignoran.
¿Por qué es tan importante?
Porque los grandes proveedores ya lo exigen. Desde febrero de 2024, Gmail y Yahoo piden un registro DMARC, aunque sea con p=none, a quien envía más de 5.000 correos al día. Microsoft aplica requisitos parecidos en Outlook desde mayo de 2025.
También protege tu marca del phishing. Con p=reject, un correo falso que use tu dominio no llega a la bandeja de entrada.
Y mejora tu entregabilidad. Un dominio con SPF, DKIM y DMARC bien configurados transmite confianza a los proveedores de correo.
Por último, es un requisito para BIMI, que muestra el logotipo de tu marca junto a tus emails. Para eso necesitas una política quarantine o reject.
Protege tu dominio y llega a la bandeja de entrada
Configura SPF, DKIM y DMARC en Mailrelay y envía hasta 80.000 emails al mes gratis a 20.000 contactos.
Cómo configurar DMARC paso a paso
Antes de empezar, asegúrate de que SPF y DKIM ya funcionan. Sin ellos, todos tus correos fallarían la comprobación.
1. Crea el registro con p=none
Entra en el DNS de tu dominio y añade un TXT con el nombre _dmarc y un valor como v=DMARC1; p=none; rua=mailto:informes@tudominio.com.
2. Revisa los informes
Los receptores te enviarán cada día un informe en formato XML con los servidores que han usado tu dominio y su resultado. Hay herramientas gratuitas que los convierten en tablas fáciles de leer.
3. Corrige los envíos que fallan
Si una herramienta legítima, como tu CRM o tu tienda online, aparece con fallos, añádela al SPF o configura su firma DKIM con tu dominio.
4. Endurece la política
Cuando todos tus envíos legítimos pasen, cambia a p=quarantine. Puedes usar pct=25 para aplicarla primero a una parte del tráfico. Después, pasa a p=reject.
Errores frecuentes al configurarlo
El más habitual es quedarse en p=none para siempre. Cumple el requisito de Gmail y Yahoo, pero no frena a quien suplanta tu dominio.
Otros fallos comunes:
- publicar dos registros en el mismo dominio;
- pasar a reject sin revisar los informes y bloquear tus propios envíos;
- olvidar las herramientas que envían en tu nombre, como el CRM o la facturación;
- poner en rua una dirección de otro dominio sin autorizarlo.
Cómo configurar DMARC en Mailrelay
En Mailrelay primero configura el SPF y el DKIM de tu dominio. Así tus campañas quedan alineadas con el remitente y pasan la comprobación.
Después crea en tu DNS un registro TXT llamado _dmarc.tudominio.com con el valor v=DMARC1; p=none; y cambia tudominio.com por tu dominio real. Comprueba que todo está correcto en Configuración → Autenticación de email.
Tienes los tres registros juntos en la guía del dominio de envío y el contexto completo en autenticación de correo.
Si tienes dudas, el soporte te ayuda por chat, ticket o teléfono en todos los planes, también en la cuenta gratuita.
Envía campañas autenticadas con tu dominio
Autentica tu dominio en minutos y, si te atascas, el soporte te ayuda por chat, ticket o teléfono.
Preguntas frecuentes sobre DMARC
Estas son las dudas más habituales sobre este protocolo.
¿Qué significa DMARC?
Domain-based Message Authentication, Reporting and Conformance: autenticación de mensajes, informes y cumplimiento basados en el dominio.
¿DMARC es obligatorio?
No lo exige ninguna ley, pero Gmail y Yahoo lo piden a quien envía más de 5.000 correos al día, y Microsoft hace lo mismo en Outlook. Para el resto de remitentes, es lo recomendable.
¿Qué política de DMARC debo usar?
Empieza con p=none para recibir informes sin afectar a tus envíos. Cuando tus correos legítimos pasen, sube a quarantine y, al final, a reject.
¿Qué son los informes DMARC?
Son resúmenes diarios que te envían los proveedores de correo. Indican qué servidores han enviado con tu dominio y si han superado SPF, DKIM y la alineación.
¿Cómo sé si mi dominio tiene DMARC?
Envíate un email a Gmail y abre «Mostrar original». Si aparece DMARC: PASS, está configurado. También puedes consultar el registro _dmarc con herramientas como MXToolbox.