Política DMARC: cómo pasar de p=none a p=reject sin riesgos

Tu registro DMARC dice p=none. ¿Y ahora qué?

Seguramente añadiste un registro DMARC a tu dominio porque Gmail empezó a rechazar tus facturas y recordatorios o una herramienta te mostró un aviso en rojo. Publicaste v=DMARC1; p=none, el aviso desapareció y nadie ha vuelto a tocarlo.

Ese registro te mantiene en regla, pero no impide que alguien envíe facturas falsas desde tu dominio. La protección real está en p=reject. Todos conocen la historia de terror: una empresa pasa a reject y de repente desaparecen las facturas de su programa de contabilidad y los correos de restablecimiento de contraseña de su web. Esta guía te muestra cómo llegar a reject sin que te pase eso.

Antes de seguir, analiza tu dominio con nuestro verificador DMARC gratuito para ver tu política actual, el pct y la dirección de informes, así sabrás en qué paso de este plan estás.

Qué añade DMARC a SPF y DKIM

SPF y DKIM responden a preguntas técnicas muy concretas. SPF comprueba si un servidor puede enviar en nombre del dominio del remitente del sobre (el Return-Path). DKIM comprueba si el mensaje lo firmó el dominio de la etiqueta d= y si la firma está intacta. Ninguno de los dos mira la dirección que tu destinatario realmente ve, la del encabezado From.

Justo ese hueco es el que aprovechan los suplantadores. Un estafador puede pasar SPF con su propio dominio desechable y poner facturas@tuempresa.com en el campo De. DMARC cierra el hueco con una regla llamada alineación: un mensaje pasa DMARC solo si SPF o DKIM pasan y el dominio que pasó coincide con el dominio del From.

• Alineación SPF: el dominio del Return-Path coincide con el dominio del From.
• Alineación DKIM: el dominio d= de la firma DKIM coincide con el dominio del From.

Basta con un resultado alineado. En la práctica conviene apoyarse en DKIM, porque sobrevive al reenvío, mientras que SPF suele fallar cuando un mensaje se retransmite. Si tu SPF o tu DKIM ya fallan por sí solos, arréglalos primero. Nuestras guías para corregir errores en el registro SPF y sobre los errores más comunes al configurar DKIM cubren los casos habituales.

Anatomía de un registro DMARC

DMARC es un único registro TXT publicado en _dmarc.tudominio.com. Un registro inicial típico se ve así:

v=DMARC1; p=none; rua=mailto:informes-dmarc@tudominio.com

• v=DMARC1: la versión. Debe ir primero y escrita exactamente así.
• p=: la política para los mensajes que fallan. none solo monitoriza, quarantine los envía a spam, reject los bloquea.
• rua=mailto:...: adonde los servidores receptores envían los informes agregados diarios. Sin ella vas a ciegas.
• pct=: la parte del correo fallido a la que se aplica la política (por defecto 100), útil para endurecer de forma gradual.
• sp=: la política para subdominios. Si no la indicas, los subdominios heredan p.
• adkim= y aspf=: el modo de alineación. r (relajado, el predeterminado) acepta cualquier subdominio de tu dominio principal, así que mail.tudominio.com está alineado con tudominio.com. s (estricto) exige una coincidencia exacta y rompe muchas configuraciones legítimas, así que quédate con el relajado.

El estado final, con la política aplicada:

v=DMARC1; p=reject; sp=reject; adkim=r; aspf=r; rua=mailto:informes-dmarc@tudominio.com

El despliegue por fases: de none a reject

Pasar a reject es un pequeño proyecto, no un simple cambio de DNS. Sigue estos cinco pasos en orden.

1. Haz inventario de todo lo que envía con tu dominio

Apunta todo lo que pone tu dominio en el campo De. La mayoría de pequeñas empresas encuentran más de lo que esperaban:

• Tu proveedor de correo (Google Workspace, Microsoft 365 o tu hosting)
• El programa de facturación o contabilidad que envía facturas y recordatorios
• CRM, helpdesk y herramientas de reservas
• Tu plataforma de email para recordatorios, estados de cuenta y avisos a clientes
• Formularios de contacto de la web, avisos de la tienda online, sistemas de nóminas o RR. HH.

2. Publica p=none con informes

Empieza con p=none y una dirección rua que funcione. Déjala al menos de dos a cuatro semanas para cubrir el ciclo mensual completo: facturación, nóminas, estados de cuenta. Este paso no cambia nada en la entrega, simplemente enciende la luz.

3. Corrige la alineación de cada remitente legítimo

Para cada servicio legítimo que no esté alineado, configura la firma DKIM con tu propio dominio (normalmente un registro CNAME o TXT que te da el proveedor) y, si lo ofrece, un Return-Path personalizado en tu dominio. Un servicio que solo puede enviar desde su propio dominio debería enviar desde el suyo, no desde el tuyo.

4. Pasa a quarantine poco a poco

Cuando los informes muestren que los remitentes legítimos pasan de forma constante, cambia a:

v=DMARC1; p=quarantine; pct=25; rua=mailto:informes-dmarc@tudominio.com

Vigila los informes durante una o dos semanas y luego sube pct a 50 y después a 100. Si algo legítimo falla, solo una parte de sus mensajes acabará en spam.

5. Pasa a reject

Tras un periodo limpio con p=quarantine; pct=100, cambia a p=reject. Mantén la dirección rua y sigue leyendo los informes. Cada herramienta nueva que adopte tu equipo es un remitente más que alinear.

Cómo leer los informes agregados sin volverte loco

Los informes agregados (rua) llegan como archivos XML comprimidos, normalmente uno al día por cada proveedor receptor. Pásalos por un analizador de informes DMARC y cada fila se reduce a unos pocos datos: la IP de envío, cuántos mensajes envió, si SPF y DKIM pasaron, si estaban alineados y qué hizo el receptor con el correo.

Clasifica las fuentes en cuatro grupos:

• Legítimas y alineadas: tu proveedor de correo y las herramientas bien configuradas. No hay nada que hacer.
• Legítimas pero no alineadas: el programa de facturación o el CRM que olvidaste. Corrígelas antes de aplicar la política.
• Correo reenviado: mensajes que pasan por listas de correo o reglas de reenvío, que a menudo fallan SPF pero pasan DKIM. Una firma DKIM alineada los cubre.
• Fuentes desconocidas: IP que no reconoces y que envían con tu dominio. Suele ser suplantación, justo lo que reject va a frenar.

Errores comunes que hacen perder correo real

• No poner dirección rua. Una política sin informes no te da datos para decidir cuándo es seguro aplicarla.
• Saltar directamente a reject. Saltarse la fase de monitorización es la forma más rápida de que facturas y restablecimientos de contraseña desaparezcan de un día para otro.
• Olvidar a los remitentes externos. El programa de facturación, el CRM o el sistema de reservas que envía con tu dominio pero firma DKIM con el suyo es la víctima clásica.
• Ignorar los subdominios. Sin sp=, los subdominios heredan la política principal. Comprueba que nada legítimo envía desde un subdominio antes de aplicarla.
• Publicar dos registros DMARC. Si _dmarc.tudominio.com tiene más de un registro TXT con v=DMARC1, los receptores lo consideran inválido e ignoran DMARC por completo. Edita el registro existente en lugar de añadir otro.

Por qué p=none ya no es opcional

Desde febrero de 2024, Gmail y Yahoo exigen a los remitentes masivos publicar un registro DMARC con al menos p=none y que el dominio del From esté alineado con SPF o DKIM. Microsoft siguió con reglas parecidas para Outlook.com. En nuestro resumen de los requisitos de Gmail, Yahoo y Microsoft para remitentes masivos tienes la lista completa.

Cómo encaja MailerBit en tu plan DMARC

Si envías recordatorios de pago, estados de cuenta o avisos de cuotas con MailerBit, ese remitente es fácil de tachar de tu inventario. Antes de poder enviar una campaña, MailerBit te pide verificar tu propio dominio y genera los registros DNS exactos que debes añadir: una clave DKIM que firma tu correo con tu dominio y un Return-Path personalizado para que los rebotes pasen por tu dominio y no por el nuestro. Ambos coinciden con tu dirección From, que es justo lo que comprueba la alineación DMARC.

Como envías desde tu propio dominio verificado, construyes tu propia reputación de dominio, y las cuentas con más de un 5% de rebotes o un 0,1% de quejas se pausan automáticamente. El registro DMARC sigue en tus manos: lo publicas en tu DNS y puedes revisarlo cuando quieras con nuestras herramientas gratuitas.

Llega a reject y quédate ahí

Aplicar DMARC es la diferencia entre “tenemos autenticación” y “nadie puede enviar facturas haciéndose pasar por nosotros”. Haz inventario, recoge informes, corrige la alineación y luego sube por quarantine hasta reject. Lleva unas semanas, no un fin de semana.

¿Quieres que tus recordatorios y estados de cuenta pasen la verificación desde el primer día? Crea tu cuenta en MailerBit, verifica tu dominio y envía tu primera campaña desde una dirección en la que tus clientes puedan confiar.