¿Qué es DMARC y cómo configurarlo en tu correo de empresa?

Respuesta rápida: Si quieres saber qué es DMARC (Domain-based Message Authentication, Reporting, and Conformance), se trata de un protocolo de seguridad publicado en el DNS que define lo que los proveedores de destino deben hacer cuando un mensaje enviado a nombre de tu empresa falla en la validación de SPF o DKIM. Combate los intentos de fraude por suplantación de identidad (spoofing) y protege la reputación de tu dominio. Para configurarlo, agregas un registro de tipo TXT en tu zona DNS llamado _dmarc, definiendo una política de monitoreo (p=none), cuarentena (p=quarantine) o rechazo (p=reject).

¿Qué es DMARC y por qué se volvió obligatorio?

El DMARC fue formalizado por la Internet Engineering Task Force mediante la RFC 7489. En términos sencillos, funciona como una instrucción formal que el dueño del dominio da a servidores como Google, Yahoo y Microsoft sobre cómo tratar mensajes sospechosos que usan el nombre de tu marca.

Históricamente, el correo se creó sin mecanismos nativos de seguridad. Cualquier computadora conectada a la red podía enviar un mensaje diciendo ser de contacto@tuempresa.com. Para resolver esto, se crearon dos mecanismos previos: el SPF (RFC 7208), que lista los servidores autorizados para enviar correos por tu dominio, y el DKIM, que firma digitalmente el mensaje para comprobar que no fue adulterado durante el trayecto.

Sin embargo, faltaba una pieza: ¿y si un correo falla en el SPF o en el DKIM? ¿El servidor que recibe debe descartar el mensaje, ponerlo en la carpeta de spam o entregarlo de todos modos? Es exactamente esa respuesta la que proporciona el DMARC. Si quieres entender cómo se conectan estas tres piezas antes de avanzar, consulta nuestro artículo con MX, SPF, DKIM y DMARC explicados sin jerga técnica.

Además de cerrar brechas para que los delincuentes cometan fraudes con clientes y proveedores usando tu nombre, el DMARC dejó de ser opcional para quien se preocupa por la entregabilidad. Las directrices para remitentes de correo de Google y las reglas equivalentes de Yahoo establecieron que los dominios sin autenticación completa sufren bloqueos severos o ven sus envíos redirigidos directamente a la papelera. Tener un correo corporativo configurado correctamente es hoy un requisito operativo básico.

¿Cómo funciona el DMARC en la práctica?

Para comprender el DMARC, es necesario entender el concepto de alineación de identificadores. Cuando envías un correo profesional, hay dos direcciones de remitente involucradas:

1. El remitente del encabezado visible (From): es la dirección que tu cliente ve en su aplicación de correo, como ventas@tuempresa.com.
2. El remitente técnico (envelope o Return-Path): es la dirección usada por los servidores para registrar errores de entrega y procesar el SPF.

Los estafadores suelen usar un dominio propio invisible en el Return-Path (que pasa en su SPF) y ponen el dominio de tu empresa en el encabezado visible para engañar a la víctima. El DMARC exige alineación: el dominio visible debe ser exactamente el mismo validado por el SPF o por la firma criptográfica de DKIM.

Cuando un mensaje llega a destino, el servidor receptor ejecuta las siguientes etapas:

• Comprueba si el SPF pasó y si el dominio se alinea con el remitente visible.
• Comprueba si la firma DKIM es válida y si el dominio de la clave se alinea con el remitente visible.
• Consulta la entrada DMARC en el DNS del dominio remitente.
• Si el mensaje falla en ambos criterios, el servidor aplica la política estipulada por el dueño del dominio.

Si tu empresa envía mensajes legítimos pero no configuró estos pasos, tus comunicados comerciales corren un serio riesgo de rechazo. Explicamos detalladamente este problema en el artículo por qué mi correo cae en spam.

¿Cuáles son las políticas de DMARC?

La regla que publicas en el DNS se define mediante la etiqueta p=. Existen tres opciones posibles, que representan niveles graduales de protección:

1. Política de monitoreo (p=none)

Indica a los servidores receptores que, aunque el mensaje falle en la autenticación, debe entregarse con normalidad en la bandeja de entrada del destinatario (o seguir el filtro antispam común del proveedor). Esta fase sirve exclusivamente para recopilar informes y diagnosticar qué servicios legítimos usan tu dominio sin autorización previa.

2. Política de cuarentena (p=quarantine)

Determina que los mensajes con fallas de autenticación deben tratarse con sospecha. Generalmente, el proveedor de destino los entrega directo en la carpeta de spam o en la papelera del destinatario, impidiendo que lleguen a la bandeja principal.

3. Política de rechazo (p=reject)

Es el nivel más alto de defensa. Las instrucciones con p=reject ordenan al servidor de destino que bloquee y rechace totalmente la recepción del mensaje en el propio nivel de conexión SMTP. Nunca llega a ninguna carpeta del usuario. Los atacantes pierden por completo la capacidad de enviar correos falsificados en nombre de tu dominio.

Tag DMARC	Nombre	Función	Ejemplo práctico
v	Versión	Identifica el protocolo (siempre DMARC1)	v=DMARC1;
p	Política	Define la acción para el dominio principal	p=none; o p=quarantine;
sp	Política de subdominios	Define la acción para subdominios no declarados	sp=reject;
rua	Informes agregados	Correo que recibirá resúmenes diarios en XML	rua=mailto:dmarc@dominio.com;
pct	Porcentaje	Porcentaje de mensajes sujetos a la regla (1 a 100)	pct=100;

¿Cómo configurar el DMARC en tu dominio paso a paso?

Antes de agregar el registro DMARC, necesitas tener la certeza absoluta de que tus entradas MX, SPF y DKIM ya están activas y funcionando. Si todavía tienes dudas sobre cómo validar estas etapas preliminares, lee nuestra guía sobre cómo verificar si el dominio está configurado para correo.

Para quienes buscan una configuración rápida y sin complicaciones técnicas, Domailo ofrece una interfaz intuitiva donde gestionas buzones corporativos y visualizas los registros necesarios de forma organizada.

Sigue el procedimiento a continuación para habilitar DMARC:

Paso 1: Accede a la zona de administración de DNS de tu dominio

Abre el panel donde está alojada tu zona DNS. Este lugar puede ser la empresa de alojamiento del sitio web o un proveedor especializado en DNS como Cloudflare.

Atención esencial para dominios administrados en tu registrador de dominio: El servicio de DNS básico y gratuito provisto directamente en el panel de tu registrador de dominio posee una limitación de software conocida: no acepta el carácter de guion bajo (_) en el campo de nombre de los registros. Como el protocolo DMARC exige obligatoriamente la entrada _dmarc, no podrás insertarlo en el DNS de tu registrador de dominio. La solución recomendada es dirigir los servidores DNS (Nameservers) de tu registrador de dominio a Cloudflare (utilizando el plan gratuito de Cloudflare) y registrar todas las entradas DNS allí.

Paso 2: Crea el registro TXT inicial

En la zona de DNS, agrega una nueva entrada con las siguientes propiedades:

• Tipo: TXT
• Nombre (o Host): _dmarc (algunos paneles exigen escribir _dmarc.tudominio.com, mientras que otros solo requieren _dmarc)
• Contenido (o Valor): v=DMARC1; p=none; rua=mailto:informes@tudominio.com
• TTL: 3600 (o Automático)

Reemplaza informes@tudominio.com por un buzón real creado para recibir estos archivos. No te asustes si recibes archivos .xml.gz: son reportes técnicos consolidados que envían periódicamente servidores como Gmail y Yahoo con el historial de quién intentó enviar correos a tu nombre.

Paso 3: Evalúa los informes durante 7 a 15 días

Haz seguimiento de si todos los sistemas legítimos que envían correos por tu empresa (como tu sistema de ventas, emisores de facturas electrónicas y plataformas de atención) están pasando SPF y DKIM. Si identificas envíos válidos que fallan, corrige el SPF antes de continuar.

Paso 4: Eleva la protección a cuarentena y rechazo

En cuanto confirmes que solo los mensajes autorizados salen con la firma de tu dominio, edita el valor del registro TXT:

1. Cambia primero a cuarentena: v=DMARC1; p=quarantine; rua=mailto:informes@tudominio.com
2. Tras otra semana sin incidentes de falsos positivos, cambia al bloqueo definitivo: v=DMARC1; p=reject; rua=mailto:informes@tudominio.com

A partir de ese momento, cualquier mensaje falsificado que intente usar tu correo corporativo será descartado de inmediato por los principales proveedores globales.

Errores frecuentes en la configuración de DMARC

Aunque sea un registro sencillo de escribir, algunos descuidos comunes pueden comprometer el flujo de comunicación de una empresa:

• Comenzar directo con p=reject sin probar: si tienes un sistema externo de cobranza o automatización que aún no fue agregado a tu registro SPF, tus propios correos corporativos serán bloqueados y tus clientes no recibirán facturas ni presupuestos.
• Escribir el nombre sin el guion bajo: registrar únicamente dmarc en lugar de _dmarc hace que los servidores de todo el mundo simplemente ignoren la política, ya que el protocolo no buscará el nombre sin el carácter inicial.
• Olvidar monitorear el buzón de la dirección rua: los buzones de informes pueden llenarse rápidamente con decenas de mensajes técnicos comprimidos si envías volúmenes considerables de comunicación a diario.

Correo corporativo sin complicaciones para tu equipo

Muchas soluciones de correo del mercado hacen de la gestión de dominios y buzones un desafío innecesario para pequeñas y medianas empresas. Herramientas complejas cobran tarifas elevadas por usuario individual y exigen configuraciones interminables en paneles diseñados para corporaciones gigantescas.

En Domailo, la propuesta es directa: tienes correo profesional con el dominio propio de tu empresa y una bandeja de entrada práctica a la que accedes directamente desde el navegador (webmail). En vez de pagar por empleado, el modelo de cobro de Domailo es por organización. El Plan Startup cuesta US$ 5/mes para hasta 2 usuarios, el Plan Esencial cuesta US$ 9/mes para 5 usuarios y hasta 3 dominios, y el Plan Equipo cuesta US$ 19/mes admitiendo hasta 20 buzones y 10 dominios diferentes. Si optas por el pago anual por adelantado, pagas 10 mensualidades y lo utilizas durante 12 meses (US$ 50/año en el Plan Startup, US$ 90/año en el Plan Esencial y US$ 190/año en el Plan Equipo).

Si tu empresa necesita una suite de oficina integrada con hojas de cálculo en la nube y sincronización por aplicaciones locales mediante IMAP/POP, suites como Google Workspace o Microsoft 365 pueden ser el camino adecuado. Sin embargo, para la inmensa mayoría de los negocios que necesitan un correo corporativo seguro, con dominio propio, soporte para buzones compartidos con múltiples accesos de equipo y administración sin burocracia, Domailo ofrece la mejor experiencia de uso con costos predecibles.

Conclusión: protege la reputación de tu marca hoy mismo

Configurar el DMARC dejó de ser un detalle técnico avanzado de servidores para convertirse en la línea de defensa obligatoria para la entregabilidad de cualquier correo profesional. Al vincular el SPF y el DKIM bajo una política clara de inspección, garantizas que las comunicaciones de tu empresa lleguen a los clientes y frenas los intentos maliciosos de suplantación.

Si quieres poner a funcionar tu correo corporativo con seguridad, simplicidad y una excelente relación costo-beneficio, Domailo es la opción ideal. Conectas tu dominio, validas las entradas con facilidad y cuentas con una prueba gratuita de 30 días para comprobar en la práctica todas sus funciones.