DMARC: qué es y cómo configurarlo paso a paso

Q: ¿Puede DMARC bloquear mis propios emails?

Sí, si activas quarantine o reject antes de tener autenticados todos tus servicios de envío: los correos de un programa de facturación o de un formulario web mal configurado acabarían en spam o rechazados. Por eso se empieza con p=none, se revisan los informes unas semanas y se endurece la política poco a poco.

Por qué importa

Sin DMARC, cualquiera puede enviar correos que aparenten salir de pedidos@tudominio.com: facturas falsas, avisos de pago o enlaces de phishing dirigidos a tus clientes y proveedores, con tu marca. Con una política estricta, los servidores de correo que aplican DMARC rechazan esos mensajes.

También afecta a tus propios envíos. Desde febrero de 2024, Google exige a quien envía más de 5.000 mensajes al día a cuentas de Gmail tener SPF, DKIM y DMARC (basta con p=none), y Yahoo pide lo mismo. Además, los informes de DMARC te muestran qué servicios envían correo con tu dominio.

Cómo lo comprueba Posiciona

Consultamos en el DNS el registro TXT _dmarc de tu dominio principal (sin www). Sin un registro que empiece por v=DMARC1, la puntuación es 20. Con p=reject, 100; p=quarantine, 90, porque ya es una buena protección; p=none, 50; una política no válida, 30. Restamos 15 si pct es menor de 100 (salvo con none), 10 si con p=none no hay rua para recibir informes (con quarantine o reject solo te lo sugerimos) y 10 si con p=reject los subdominios quedan en sp=none. Si el DNS no responde en 8 segundos o da error, 50.

En la nota de Seguridad esta comprobación cuenta como “importante” (peso 3 de 5).

Cómo solucionarlo

Haz la lista de todo lo que envía email con tu dominio: tu correo (Google Workspace, Microsoft 365, el del hosting), la tienda, la herramienta de newsletters, la facturación y los formularios de la web.
Configura SPF y DKIM para cada uno. Cada proveedor explica en su ayuda qué registros DNS añadir; sin esto, DMARC acabará bloqueando tus propios correos.
Publica DMARC en modo observación: un registro TXT con nombre _dmarc y valor v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com, en el panel DNS de tu dominio (tu registrador, tu hosting con Plesk o cPanel, o Cloudflare).
Durante 2 a 4 semanas, revisa los informes que llegan a la dirección de rua. Son ficheros XML poco legibles: un servicio de análisis de informes DMARC (muchos tienen plan gratuito) te los resume.
Cuando todos tus envíos legítimos pasen SPF o DKIM con tu mismo dominio (lo que DMARC llama “alineación”), cambia a p=quarantine y, tras un par de semanas sin problemas, a p=reject. No añadas sp=none: dejaría sin protección los subdominios.
Si un dominio tuyo no envía correo nunca, publica directamente p=reject y un SPF v=spf1 -all, para que nadie pueda usarlo.

Registro inicial, en modo observaciónDNS

Tipo:   TXT
Nombre: _dmarc   (algunos paneles piden _dmarc.tudominio.com)
Valor:  v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com

Objetivo final (formato de zona DNS)DNS

_dmarc.tudominio.com.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@tudominio.com"

En WordPress

WordPress y WooCommerce envían correos (pedidos, formularios, avisos) desde el propio servidor, y esos mensajes a menudo no pasan SPF ni DKIM. Antes de pasar a quarantine o reject, configura un plugin SMTP como WP Mail SMTP para que salgan por tu proveedor de correo, ya autenticado.
Envía un pedido o un formulario de prueba a una cuenta de Gmail y comprueba en “Mostrar original” que SPF, DKIM y DMARC aparecen como PASS.

En Shopify

Si Shopify envía los emails de tu tienda con tu dirección (por ejemplo, pedidos@tudominio.com), autentica el dominio en los ajustes del correo del remitente de Shopify: te indicará unos registros CNAME que debes añadir a tu DNS.
Si compraste el dominio en Shopify, los registros DNS, incluido el de DMARC, se añaden en Configuración → Dominios. Si está en otro proveedor, se añaden allí.

Preguntas frecuentes

¿Qué diferencia hay entre SPF, DKIM y DMARC?

SPF es una lista, publicada en tu DNS, de los servidores autorizados a enviar correo con tu dominio. DKIM añade a cada mensaje una firma digital que demuestra que no se ha modificado y que lo envió alguien autorizado. DMARC une ambos: exige que al menos uno pase y coincida con el dominio que ve el destinatario en el remitente, y dice qué hacer si no.

¿Puede DMARC bloquear mis propios emails?

Sí, si activas quarantine o reject antes de tener autenticados todos tus servicios de envío: los correos de un programa de facturación o de un formulario web mal configurado acabarían en spam o rechazados. Por eso se empieza con p=none, se revisan los informes unas semanas y se endurece la política poco a poco.