Guía: autenticación
Cómo configurar DMARC
DMARC vincula SPF y DKIM a la dirección From que ven sus destinatarios, indica a los receptores qué hacer con el correo que falla y les pide que le envíen informes.
Última revisión: 4 de noviembre de 2026
Qué aporta DMARC
SPF comprueba el dominio del sobre y DKIM el dominio firmante, pero ninguno tiene que coincidir con la dirección From. DMARC (RFC 9989, que sustituyó a RFC 7489 en mayo de 2026) sí lo exige: un mensaje supera DMARC solo cuando SPF o DKIM pasan para un dominio alineado con el dominio del From.
La política es un registro TXT en _dmarc.yourdomain. Los receptores lo leen para decidir qué hacer con el correo que dice venir de usted y falla, y adónde enviar informes sobre lo que han visto.
Alineación
Con alineación relaxed (adkim=r, aspf=r, el valor por defecto) los dominios deben compartir el mismo dominio organizativo: mail.example.com está alineado con example.com. Con alineación strict (s) deben ser idénticos.
En la práctica, su servicio de envío debe firmar DKIM con su dominio y, para que SPF cuente, usar un Return-Path en su dominio. Basta con un resultado alineado que pase.
El registro y sus políticas
Un registro empieza por v=DMARC1. RFC 9989 trata un registro sin etiqueta p= como p=none, pero publique p= de forma explícita para que su intención quede clara. Las demás etiquetas son opcionales: rua= para los informes agregados, sp= para los subdominios y t=y para probar una política sin pedir a los receptores que la apliquen. La etiqueta pct= de RFC 7489 se eliminó.
- p=none: pide a los receptores que no apliquen ninguna medida DMARC y solo informen. Úsela para ver quién envía como su dominio; el filtrado de spam habitual sigue aplicándose.
- p=quarantine: pide a los receptores que traten como sospechoso el correo que falla, normalmente enviándolo a spam.
- p=reject: pide a los receptores que rechacen el correo que falla. Es la protección más fuerte contra la suplantación de su dominio, aunque cada receptor conserva la decisión final.
v=DMARC1; p=none; rua=mailto:[email protected]Un orden seguro para endurecer la política
Empiece con p=none y una dirección rua cuyos informes lea. Los informes agregados son archivos XML que cada receptor envía aproximadamente una vez al día, con las fuentes que enviaron como su dominio y si pasaron o no.
Corrija toda fuente legítima que falle: una herramienta de boletines olvidada, un sistema de facturación, un servicio de soporte. Después pase a p=quarantine, vuelva a revisar los informes y pase a p=reject cuando solo fallen remitentes no autorizados.
Qué piden los proveedores de buzón
Google pide a quienes envían cerca de 5.000 mensajes o más al día a cuentas personales de Gmail que publiquen DMARC y que el dominio del From esté alineado con el dominio de SPF o de DKIM. Yahoo pide a los remitentes masivos una política DMARC válida de al menos p=none, y DMARC debe pasar.
Cómo gestiona Mail.Land el DMARC
DMARC es obligatorio en Mail.Land: un dominio solo se verifica con un registro _dmarc que empiece por v=DMARC1 y tenga una etiqueta p=, y SPF, DKIM y DMARC deben verificarse antes de que pueda enviar. El panel sugiere un valor con p=quarantine y alineación relaxed; puede publicar su propia política en su lugar.
Mail.Land firma DKIM con su dominio y, cuando se verifica el registro del Return-Path propio (activado por defecto), alinea también SPF con alineación relaxed. Mail.Land recibe los informes agregados DMARC enviados a la dirección rua que le da y ofrece su tasa de aprobación, sus fuentes de envío y las disposiciones aplicadas a través de la API; añada una dirección rua propia si también desea los informes originales.
Fuentes
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) (consultada el 4 de noviembre de 2026)
- RFC 9990, informes agregados de DMARC (consultada el 4 de noviembre de 2026)
- Google, directrices para remitentes de correo (consultada el 4 de noviembre de 2026)
- Yahoo, buenas prácticas para remitentes (consultada el 4 de noviembre de 2026)
Póngalo en práctica
Añada su dominio a Mail.Land y el panel le mostrará exactamente los registros SPF, DKIM y DMARC que debe publicar.