Registro DMARC: cómo configurar DMARC paso a paso (p=none → quarantine → reject)

Herramientas e integraciones 7 min de lectura Actualizado: 02.11.2026

Todas las etiquetas de DMARC explicadas, ejemplos de registros listos para usar, cómo leer los informes agregados, política de subdominios, autorización de informes externos y un plan de implementación seguro.

Un registro DMARC es una sola línea de texto en el DNS, pero decide qué ocurre con el correo que dice provenir de tu dominio y no supera la autenticación. Si lo configuras sin cuidado, o no proteges nada o bloqueas tus propias facturas. Esta guía repasa cada tag, ofrece ejemplos listos para usar y un plan de implementación desde p=none hasta p=reject.

Si SPF, DKIM y la alineación son nuevos para ti, empieza con SPF, DKIM y DMARC explicados, ya que DMARC se apoya en ambos.

Dónde se aloja el registro DMARC

DMARC es un registro TXT en el subdominio _dmarc del dominio de tu dirección From:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Solo puede haber un registro DMARC por nombre. Si un receptor encuentra dos, ignora DMARC para ese dominio. Un subdominio sin registro propio hereda el registro del dominio organizacional (example.com).

Los tags de DMARC explicados

Tag	Significado	Valores y valor predeterminado
`v`	Versión. Debe ser el primer tag.	Solo `DMARC1`
`p`	Política para el dominio. Obligatorio.	`none`, `quarantine`, `reject`
`sp`	Política para subdominios.	Los mismos valores; por defecto toma el de `p`
`rua`	Dónde enviar los reportes agregados.	Direcciones `mailto:`, separadas por comas
`ruf`	Dónde enviar los reportes de fallos (forenses).	Direcciones `mailto:`; muchos receptores nunca los envían
`pct`	Porcentaje del correo fallido al que se aplica la política.	0–100, por defecto 100
`adkim`	Modo de alineación DKIM.	`r` relajado (predeterminado) o `s` estricto
`aspf`	Modo de alineación SPF.	`r` relajado (predeterminado) o `s` estricto
`fo`	Cuándo generar reportes de fallos.	`0` (predeterminado: fallaron ambas verificaciones), `1` (falló cualquier verificación), `d`, `s`
`ri`	Intervalo solicitado para los reportes agregados, en segundos.	Por defecto 86400 (un día); la mayoría de los receptores envía a diario de todos modos

Alineación relajada vs. estricta. Relajada significa que los dominios solo necesitan compartir el dominio organizacional: una firma DKIM con d=news.example.com se alinea con un From example.com. La estricta exige una coincidencia exacta. La relajada es la opción adecuada para casi todos.

pct y la nueva revisión de DMARC

Una revisión actualizada de la especificación DMARC (conocida a menudo como DMARCbis) elimina pct en favor de un indicador de prueba t= más simple y añade np para subdominios inexistentes. El soporte entre los receptores es desigual, así que pct sigue siendo la forma más conocida de implementar una política por fases. Revisa tus receptores antes de depender de los nuevos tags.

Ejemplos de registros DMARC

Solo monitoreo, el punto de partida seguro:

v=DMARC1; p=none; rua=mailto:dmarc@example.com

Cuarentena para una cuarta parte del correo fallido:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.com

Protección total, subdominios incluidos:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com

Un dominio que nunca envía correo (combinado con v=spf1 -all):

v=DMARC1; p=reject; sp=reject

Puedes pegar cualquiera de estos en el verificador de DMARC después de publicarlo para confirmar la sintaxis y ver cómo se interpreta cada tag.

Cómo configurar DMARC paso a paso

Asegúrate primero de que SPF y DKIM funcionan. Compruébalos con el verificador de SPF y el verificador de DKIM. DMARC sin ellos solo recopila informes de fallos.
Elige una dirección para los informes. Los informes agregados son archivos XML, a menudo decenas al día en un dominio activo. Usa un buzón dedicado o un servicio de informes DMARC en lugar de tu bandeja de entrada personal.
Publica p=none con rua en el panel de tu proveedor de DNS: host _dmarc, tipo TXT.
Recopila informes durante 2–4 semanas para que aparezcan los remitentes semanales y mensuales (facturas, nóminas, newsletters).
Corrige cada fuente legítima que falle: activa DKIM con tu dominio en ese servicio o agrégala a SPF con un Return-Path alineado.
Pasa a p=quarantine, opcionalmente con pct=25, luego 50 y 100, revisando los informes después de cada paso.
Pasa a p=reject cuando quarantine funcione sin errores durante unas semanas.

Cómo leer los informes agregados

Cada informe cubre un receptor y un periodo, normalmente un día. Dentro encontrarás filas como esta, simplificadas:

IP de origen	Cantidad	SPF	DKIM	Disposición
203.0.113.10	1,240	pass, alineado	pass, alineado	none
198.51.100.25	310	pass, no alineado	fail	none
192.0.2.77	12	fail	fail	none

Cómo interpretarlo:

Ambos alineados: tu servidor de correo principal, todo en orden.
SPF pasa pero no está alineado, DKIM falla: un servicio de terceros típico que envía con su propio Return-Path y sin tu clave DKIM. Averigua a quién pertenece la IP y activa DKIM para tu dominio allí. Con p=reject este correo sería bloqueado.
Todo falla desde una IP desconocida: o es un sistema olvidado o alguien está suplantando tu dominio. DMARC existe precisamente para la suplantación; solo asegúrate antes de que no sea tu propio servidor olvidado.

Además de las filas, cada informe tiene un encabezado: el nombre de la organización que lo envió (Google, Yahoo, Microsoft y otras), el rango de fechas que cubre y la política que encontró en tu DNS en ese momento. Esta última parte es una buena verificación de coherencia: si el informe muestra p=none una semana después de haber publicado quarantine, el receptor sigue viendo un registro antiguo o duplicado. Los informes se envían como archivos adjuntos comprimidos (zip o gzip), uno por receptor al día, así que un dominio activo acumula cientos de archivos rápidamente.

El XML sin procesar es difícil de leer en grandes volúmenes, por eso la mayoría de los equipos usan un servicio de análisis. Incluso sin uno, abrir algunos informes a mano durante la primera semana basta para detectar remitentes desconocidos.

Política de subdominios

La etiqueta sp define la política para los subdominios que no tienen un registro DMARC propio. Dos configuraciones típicas:

p=reject; sp=reject: todo bloqueado cuando ya tengas confianza.
p=reject; sp=none: el dominio principal está protegido, los subdominios aún se están probando. No lo dejes así por mucho tiempo: los atacantes suplantan con gusto billing.example.com.

Un subdominio que envía su propio correo, como news.example.com, puede tener su propio registro _dmarc.news.example.com, que reemplaza a sp.

Enviar informes a otro dominio

Si la dirección de rua está en un dominio diferente, normalmente un servicio de análisis de informes, ese dominio debe aceptar recibir tus informes. De lo contrario, los receptores omiten la dirección. La autorización es un registro TXT en el lado receptor:

example.com._report._dmarc.reports-provider.net.  TXT  "v=DMARC1"

Los servicios de informes suelen publicarlo por ti, o una versión con comodín que cubre a todos sus clientes. El verificador de DMARC comprueba este registro para cada dirección externa en tu rua y ruf.

Errores comunes en el registro DMARC

Nombre de host incorrecto. El registro debe ir en _dmarc, no en el dominio principal. Si tu panel de DNS agrega el dominio automáticamente, escribe solo _dmarc; de lo contrario obtendrás _dmarc.example.com.example.com.
v=DMARC1 no está al principio o está mal escrito, por ejemplo v=DMARC 1 con un espacio. Los receptores tratan el registro como si no existiera.
Falta mailto: en rua. El valor debe ser un URI: rua=mailto:dmarc@example.com, no solo la dirección.
Dos registros DMARC que quedaron tras cambiar de servicio de reportes. Conserva exactamente uno y pon varias direcciones en rua, separadas por comas.
Política endurecida, pero nadie lee los reportes. Un registro p=reject con un buzón rua lleno o sin leer significa que no te darás cuenta cuando un nuevo servicio empiece a fallar.

Después de cada cambio, espera a que el DNS se actualice (normalmente de unos minutos a unas horas, según el TTL del registro) y revisa el resultado con el verificador de DMARC. Los primeros reportes agregados suelen llegar en uno o dos días, porque la mayoría de los receptores los envía una vez al día.

Qué se rompe con p=reject

Las listas de correo que añaden pies de página o etiquetas en el asunto rompen DKIM, y la IP del servidor de la lista rompe SPF. Muchas listas ya reescriben la dirección From para evitarlo; ARC ayuda a que los receptores confíen en el correo reenviado.
El reenvío simple rompe SPF, pero conserva DKIM si el mensaje no se modifica: otra razón para que DKIM sea tu verificación alineada principal.
Los formularios web que envían "desde" la dirección del visitante o desde tu dominio mediante el correo propio del servidor de hosting. Envía a través de un servicio autenticado con tu dominio.

Antes de un cambio de dominio de esta magnitud, comprueba también que tus registros MX sean correctos con la consulta MX: los reportes llegan por correo electrónico y necesitan un lugar donde recibirse.

Preguntas frecuentes

¿Cuál es un buen primer registro DMARC?

v=DMARC1; p=none; rua=mailto:dmarc@example.com: no cambia nada en la entrega, pero activa los informes agregados, así podrás ver todos los servidores que envían correo con tu dominio.

¿Cuál es la diferencia entre quarantine y reject?

Con quarantine, los mensajes que fallan normalmente se entregan en spam. Con reject, los receptores los rechazan durante la entrega. Reject ofrece la mayor protección contra la suplantación de identidad (spoofing).

¿Cuánto tiempo debo mantener p=none?

Al menos de dos a cuatro semanas, el tiempo suficiente para que aparezcan en los informes los remitentes semanales y mensuales, como facturación o nómina. Avanza cuando todas las fuentes legítimas pasen SPF o DKIM alineado.

¿Por qué mis informes DMARC no llegan a una dirección externa?

Si la dirección rua pertenece a otro dominio, ese dominio debe publicar un registro de autorización como example.com._report._dmarc.reports-provider.net TXT "v=DMARC1". Sin él, los receptores omiten la dirección.

¿Los subdominios necesitan su propio registro DMARC?

No necesariamente. Los subdominios sin registro usan la política sp del dominio principal, o p si no existe sp. Un subdominio que envía su propio correo puede publicar su propio registro.

¿Te resultó útil este artículo?

Pruébalo en tu proyecto Todo lo descrito en el artículo está disponible en el panel: el bono de registro ya está en tu saldo.

Abrir panel

← AnteriorSPF, DKIM y DMARC: guía de autenticación de correo electrónico Siguiente →Consulta WHOIS: cómo encontrar al propietario de un dominio, el registrador y las fechas de registro