Cómo configurar DMARC en un día: SPF, DKIM y DMARC

Configurar DMARC consiste en publicar tres registros de texto cortos en el DNS de tu dominio: SPF dice qué servicios pueden enviar correo a nombre de tu dominio, DKIM le pone una firma a cada mensaje y DMARC les dice a los demás servidores de correo qué hacer cuando un mensaje no pasa esas pruebas. Puedes dejar los tres listos en un día de trabajo. Llegar a la protección completa toma unas semanas más, pero esa parte es sobre todo leer reportes y esperar.

Qué hace cada uno: SPF, DKIM y DMARC

El DNS (sistema de nombres de dominio) es el directorio público de tu dominio. Además de decir dónde está tu sitio web, guarda notas cortas llamadas registros TXT. Los tres ajustes de esta guía son registros TXT (DKIM a veces es un CNAME, que apunta a un registro que mantiene tu proveedor). Se agregan en el panel donde administras tu dominio: normalmente la empresa donde lo compraste o tu proveedor de hosting.

• SPF (Sender Policy Framework) es una lista de invitados. Nombra los servidores que pueden enviar correo por tu dominio.
• DKIM (DomainKeys Identified Mail) es una firma. Tu servicio de correo firma cada mensaje con una clave secreta, y la clave pública correspondiente queda en tu DNS para que cualquiera la verifique. Un mensaje falso o alterado no pasa la prueba.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) es la regla. Dice qué hacer con un mensaje que dice venir de tu dominio pero falla: nada (none), mandarlo a spam (quarantine) o rechazarlo (reject). Además pide a quien recibe el correo que te envíe reportes.

La alineación, en palabras simples

Todo correo tiene dos remitentes. Uno es el "De" que ve la gente. El otro es una dirección de retorno oculta que se usa para los rebotes, y SPF solo revisa esa dirección oculta. Así, un estafador podría pasar SPF con su propio dominio y aun así mostrar tu nombre en el "De". DMARC cierra ese hueco con la alineación: SPF o DKIM solo cuentan si el dominio que revisaron coincide con el dominio del "De" visible. Basta con que uno de los dos pase alineado. En el modo normal, llamado relajado, un subdominio como noticias.example.com coincide con example.com.

Registro	Nombre en el DNS	Valor de ejemplo para example.com
SPF	example.com	v=spf1 include:_spf.mailhost.example include:spf.app-facturas.example ~all
DKIM	selector1._domainkey.example.com	v=DKIM1; k=rsa; p=MIIBIjANBgkqh... (una clave larga que te da tu servicio)
DMARC	_dmarc.example.com	v=DMARC1; p=none; rua=mailto:dmarc@example.com

Los valores include: de la tabla son de ejemplo. Cada servicio te dice cuál es el suyo.

Por qué importa ahora

Desde febrero de 2024, Gmail y Yahoo les piden a todos los remitentes usar al menos SPF o DKIM. Los remitentes masivos deben tener los dos, más un registro DMARC con al menos p=none que esté alineado, y un botón para darse de baja con un clic en el correo de marketing. Gmail te considera remitente masivo cuando envías cerca de 5.000 mensajes o más a cuentas personales de Gmail en un día, y esa condición no vence. En 2025, Microsoft anunció reglas parecidas para las direcciones de Outlook.com, Hotmail y Live. Desde el 5 de mayo de 2025, los dominios que les envían más de 5.000 mensajes al día deben pasar SPF, DKIM y DMARC, o su correo se rechaza.

Puede que tu negocio nunca envíe 5.000 correos al día. Igual importa. Sin DMARC, cualquiera puede mandar correos con tu dominio en el "De", y así es como les llegan a tus clientes facturas falsas o mensajes de "cambiamos de cuenta bancaria". Además, el correo de un dominio sin autenticación tiene más probabilidades de caer en spam.

El plan de un día

En la mañana: haz la lista de todo lo que envía como tu dominio

1. Mira cómo estás hoy. Escribe tu dominio en el verificador de seguridad de correo. Te muestra SPF, DKIM y DMARC en verde, ámbar o rojo. Las consultas van de tu navegador al resolvedor DNS público de Cloudflare y eThorns no guarda nada.
2. Anota cada servicio que envía correos con una dirección de tu dominio: tu proveedor de correo, el software de facturación o contabilidad, la herramienta de boletines, los formularios de contacto y la tienda en línea de tu sitio web, y cualquier otro, como el sistema de reservas, la mesa de ayuda o el escáner de la oficina.
3. Para encontrar los que se te olvidan, busca en tu bandeja de enviados y de entrada los mensajes automáticos de tu propio dominio, pregúntale a tu equipo y revisa el software que pagas cada mes.

Al mediodía: arregla SPF y activa DKIM

1. Abre la consulta DNS, escribe tu dominio y elige TXT. Busca todas las líneas que empiezan con v=spf1. Debe haber una sola.
2. Arma un único registro SPF. La página de ayuda de cada servicio te da un valor include:. Ponlos todos en una misma línea y termínala con ~all, que significa "marca todo lo demás como sospechoso". Más adelante puedes usar -all, que significa "haz fallar todo lo demás".
3. No pases de 10 consultas. SPF permite como máximo 10 consultas DNS, y cada include, a, mx, exists o redirect gasta una. Los include que hay dentro del registro de cada proveedor también cuentan. Si te pasas, SPF falla con un error. El verificador de seguridad de correo sigue cada include hasta el final y muestra el total, así que ves el número que cuenta. Si estás cerca del límite, quita los servicios que ya no usas.
4. Activa DKIM en cada servicio. En su configuración, busca "autenticar dominio", "DKIM" o "dominio de envío". Te dará uno o varios registros para agregar a tu DNS y luego un botón para verificar. Anota el selector: la parte que va antes de ._domainkey.
5. Espera a que los cambios se vean. Un registro puede tardar desde minutos hasta unas horas en aparecer en todas partes. El verificador de propagación DNS les pregunta a 10 resolvedores públicos a la vez. Envía el nombre y el tipo de registro al servidor de eThorns, que guarda solo el resultado durante un minuto.

En la tarde: publica DMARC con p=none

1. Crea una dirección para los reportes, por ejemplo dmarc@example.com. Pueden llegar muchos, así que un buzón aparte ayuda. Si usas un servicio de reportes en otro dominio, ese servicio te dirá qué agregar para que pueda recibirlos.
2. Agrega un registro TXT con el nombre _dmarc y el valor v=DMARC1; p=none; rua=mailto:dmarc@example.com. La etiqueta rua indica a dónde van los reportes agregados.
3. Vuelve a pasar tu dominio por el verificador de seguridad de correo. SPF debería salir en verde y DKIM encontrado. DMARC saldrá en ámbar con p=none, y es lo esperado: significa que solo estás monitoreando. Si DKIM aparece como no encontrado, escribe tu selector en el campo opcional.
4. Envía un mensaje de prueba a una cuenta personal de Gmail y elige "Mostrar original". SPF, DKIM y DMARC deberían decir PASS.

Las semanas siguientes: de none a reject

1. Lee los reportes. Los proveedores grandes suelen enviar uno al día, en un archivo XML comprimido. Leerlos a mano es difícil, así que mucha gente usa un servicio de reportes DMARC que los convierte en una tabla. Busca fuentes que envían como tu dominio y fallan. O es un servicio que olvidaste, y lo arreglas con SPF o DKIM, o es alguien haciéndose pasar por ti.
2. Cuando todo tu correo legítimo pase durante un par de semanas, cambia el registro a p=quarantine. Desde ahí, los mensajes que fallan van a spam.
3. Después de unas semanas más sin problemas, cámbialo a p=reject. Los mensajes que fallan se rechazan.
4. No quites la dirección rua. Cada vez que empieces a usar una herramienta nueva que envía correos, configura su DKIM antes de que envíe el primero.

Errores comunes

• Dos registros SPF. Agregar una segunda línea v=spf1 para un servicio nuevo daña SPF para todo tu correo. Únelos en uno solo.
• Usar +all. Significa "cualquiera en internet puede enviar a mi nombre". Es peor que no tener registro. Usa ~all o -all.
• Saltar directo a p=reject. La app de facturación que olvidaste queda bloqueada, y te enteras cuando un cliente te dice que la factura nunca le llegó.
• El registro DMARC en el lugar equivocado. Va en _dmarc, no en el dominio principal. Muchos paneles de DNS agregan tu dominio solos, así que si escribes _dmarc.example.com completo puedes terminar con _dmarc.example.com.example.com.

Lista de revisión

• Una lista de todos los servicios que envían como tu dominio.
• Un solo registro SPF, terminado en ~all o -all, con menos de 10 consultas.
• DKIM activado y verificado en cada servicio.
• Un registro DMARC en _dmarc con p=none y una dirección rua.
• Un mensaje de prueba con SPF, DKIM y DMARC en PASS.
• Una fecha en tu calendario para revisar reportes y pasar a quarantine y luego a reject.

Preguntas frecuentes

¿Necesito DMARC si envío pocos correos al día?

Sí. Las reglas más estrictas de Gmail, Yahoo y Microsoft son para remitentes masivos, pero DMARC es lo que impide que extraños envíen correo con tu dominio, y eso no depende del volumen.

¿DMARC frena todos los correos falsos que usan el nombre de mi empresa?

No. Protege tu dominio exacto. No frena dominios parecidos como examp1e.com, ni cuentas de correo gratuitas que solo ponen el nombre de tu empresa como nombre visible. Para buscar dominios parecidos puedes usar el verificador de dominios falsos.

¿Qué diferencia hay entre ~all y -all?

Los dos cierran un registro SPF. ~all pide tratar como sospechosos a los remitentes que no están en la lista, y -all pide hacer fallar esos mensajes. Cuando DMARC ya está en quarantine o reject, quien recibe sigue la política de DMARC, así que ~all es una opción común y segura.

¿Cuánto se tarda en llegar a p=reject?

En un negocio pequeño, muchas veces entre unas semanas y un par de meses. Depende de qué tan rápido los reportes muestren que todos tus remitentes legítimos pasan.

Pruébalo

• 2.2Seguridad de correoRevisa el SPF, DKIM, DMARC, MTA-STS, BIMI y DNSSEC de un dominio y obtén registros DNS listos para copiar para lo que falte.
• 2.4Consulta DNSConsulta los registros DNS de cualquier dominio (A, AAAA, CNAME, MX, TXT, NS, SOA, CAA, SRV) o el DNS inverso de una IP, con TTL y validación DNSSEC.
• 2.6Propagación DNSPregúntales a 10 resolvedores públicos (Google, Cloudflare, Quad9…) por los registros A, AAAA, CNAME, MX, NS o TXT de un nombre y mira si ya tienen tu cambio.