Las tres políticas
p=none, observar. El correo que falla DMARC se entrega igual. No protege contra la suplantación, pero te llegan los informes y ves quién envía con tu dominio. Es el punto de partida, y lo mínimo que piden Gmail, Yahoo y Outlook.p=quarantine, a spam. El correo que falla va a la carpeta de spam. Quien te suplante ya no llega a la bandeja de entrada.p=reject, rechazar. El correo que falla ni se entrega. Es el objetivo: nadie puede enviar en nombre de tu dominio.
Por qué no empezar directamente en p=reject
Porque casi todas las empresas tienen correo legítimo que aún no pasa DMARC: la newsletter, la facturación, el CRM, la web de reservas… Con p=reject ese correo se rechazaría, y te enterarías cuando un cliente diga que no le llegan las facturas. Primero hay que autorizar cada servicio en SPF y DKIM, y para saber cuáles son están los informes de p=none.
El camino seguro
p=noneconrua=para recibir informes. Revísalos durante unas semanas y arregla cada servicio que falle.p=quarantinecuando casi todo tu correo legítimo pase. Puedes empezar por una parte del correo, por ejemplop=quarantine; pct=25, y subir a todo.p=rejectcuando lleves un tiempo en cuarentena sin sustos.
En cada paso, si algo legítimo empieza a fallar, vuelve al anterior mientras lo corriges. Bajar de política no tiene ningún coste.
¿Y los subdominios?
Por defecto heredan la política del dominio principal. Con sp= puedes darles otra, por ejemplo sp=reject si no envías correo desde ningún subdominio.
Cómo te ayudamos
El comprobador te dice en qué política estás y si te conviene subir. Con una cuenta gratis recibimos tus informes, y en los planes de pago el asistente te dice cuándo es seguro dar el siguiente paso: tras 14 días en la etapa, con al menos 100 mensajes y el 98 % del correo legítimo pasando.