Cómo funciona la comprobación de DMARC
Nuestro servidor pide al resolvedor público de Cloudflare los registros TXT en _dmarc.<dominio> y elige el que empieza por v=DMARC1. Cuando un subdominio no tiene ninguno, pregunta por sus dominios superiores, porque entonces los receptores usan la política del dominio superior. Para las direcciones de informes de otro dominio, busca el registro que ese dominio debe publicar para aceptar los informes. Nunca se conecta a un servidor de correo, y cada etiqueta se lee según las reglas de la RFC 7489.
Un receptor comprueba DMARC en cada mensaje: pasa cuando SPF pasa para una dirección de rebote del mismo dominio que la línea From, o cuando se verifica una firma DKIM de ese dominio (esa coincidencia se llama alineación). Cuando fallan las dos, el receptor aplica p: none entrega, quarantine envía a spam, reject rechaza. En cualquier caso envía un resumen diario a la dirección rua.
El camino seguro es publicar p=none con una dirección rua, leer los informes durante unas semanas hasta que pasen todos los servicios que envían como tú, y pasar después a quarantine y, por último, a reject. El comprobador sugiere el siguiente registro de ese camino.
Etiquetas DMARC
Las etiquetas que puede contener un registro DMARC, separadas por punto y coma. Solo v y p son obligatorias.
| Etiqueta | Qué establece | Por defecto |
|---|---|---|
v | La versión. Siempre DMARC1, y siempre la primera. | — |
p | La política para el correo que falla: none, quarantine o reject. | obligatoria |
sp | La política para los subdominios, cuando debe ser distinta de p. | igual que p |
pct | La proporción del correo que falla a la que se aplica la política, de 0 a 100. | 100 |
rua | Adónde van los informes agregados diarios: una o más direcciones mailto:, separadas por comas. | none |
ruf | Adónde van los informes de mensajes concretos que fallan. Pocos receptores los envían. | none |
adkim | Alineación DKIM: r (relajada, los subdominios coinciden) o s (estricta, el dominio exacto). | r |
aspf | Alineación SPF: r (relajada) o s (estricta). | r |
fo | Cuándo se envían los informes de fallos: 0 si fallan las dos comprobaciones, 1 si falla cualquiera, d si falla DKIM, s si falla SPF. | 0 |
ri | Cada cuánto se piden los informes agregados, en segundos. | 86400 |
Ejemplo
example.com publica en _dmarc.example.com: "v=DMARC1; p=quarantine; sp=reject; rua=mailto:[email protected]; adkim=s". Un mensaje con From: example.com que falla las dos comprobaciones va a la carpeta de spam; uno de news.example.com que falla se rechaza, porque sp=reject. Con adkim=s, una firma DKIM de mail.example.com no cuenta para example.com, pero SPF sigue relajado, así que una dirección de rebote en bounce.example.com sigue alineada. Cada día, los receptores envían un resumen a [email protected]. pct no está definido, así que la política cubre el 100 % del correo que falla.
Preguntas
¿Cómo compruebo mi registro DMARC?
Escribe tu dominio arriba y pulsa «Comprobar DMARC». El comprobador lee el registro TXT en _dmarc.tudominio, muestra la política y cada etiqueta en palabras sencillas, y señala lo que falta. Para comprobar un registro antes de publicarlo, cambia al modo «Un registro pegado»; se ejecuta en tu navegador.
¿Qué significan p=none, p=quarantine y p=reject?
Indican a los receptores qué hacer con el correo que dice ser de tu dominio pero no pasa DMARC. none: entregarlo como siempre y solo informar. quarantine: enviarlo a la carpeta de spam. reject: rechazarlo. Empieza con none para recoger informes y pasa después a quarantine y reject cuando todo tu propio correo pase.
¿Necesito DMARC para Gmail, Yahoo y Outlook?
Si envías mucho correo, sí. Desde febrero de 2024, Gmail y Yahoo exigen un registro DMARC (basta p=none) a quienes envían más de 5000 mensajes al día, y Outlook.com exige lo mismo desde mayo de 2025. Los remitentes más pequeños no están obligados, pero el correo con DMARC es más fiable y es más fácil frenar el correo falsificado en tu nombre.
¿Qué son rua y ruf en DMARC?
rua es la dirección de los informes agregados: un resumen diario en XML de cada receptor, con los servidores que enviaron correo como tu dominio y si SPF y DKIM pasaron. ruf es para informes de fallo de mensajes concretos, que pocos receptores siguen enviando. Una dirección de otro dominio solo recibe informes si ese dominio publica un registro que diga que los acepta.
¿Por qué falla DMARC si SPF pasa?
Porque SPF pasó para un dominio distinto. SPF comprueba la dirección de rebote (Return-Path), que un servicio de correo suele fijar a su propio dominio; DMARC necesita que coincida con el dominio de la línea From. Se corrige configurando un dominio de rebote propio en el servicio, o firmando con DKIM para tu propio dominio: basta un solo resultado alineado.