Qué es DMARC y cómo funciona (explicado sin jerga)

DMARC en una frase

DMARC es un registro en el DNS de tu dominio que dice a Gmail, Outlook y el resto de servidores qué hacer con los correos que dicen venir de ti pero no lo demuestran, y les pide que te envíen informes de quién envía correo con tu nombre.

El problema que resuelve

El correo se inventó sin comprobar quién envía: cualquiera puede poner facturas@tuempresa.es como remitente. SPF y DKIM permiten demostrar que un correo es legítimo, pero ninguno de los dos mira el remitente que ve el destinatario, y ninguno dice qué hacer si la prueba falla. DMARC une las dos cosas.

Cómo funciona

Llega un correo con tu dominio en el remitente visible (From:).
El servidor que lo recibe comprueba SPF y DKIM, y además que el dominio que pasa coincide con el del remitente visible. A esto se le llama alineación.
Si pasa SPF o DKIM alineado, el correo pasa DMARC. Si no, se aplica tu política.
Una vez al día, cada proveedor te manda un informe con cuánto correo ha visto con tu dominio, desde qué servidores y si pasaba o no.

La alineación es la clave: un servicio de newsletter puede pasar SPF y DKIM con su propio dominio, pero DMARC solo cuenta lo que pasa con el tuyo.

Cómo es un registro DMARC

Es un registro TXT en _dmarc.tudominio.es. Por ejemplo:

v=DMARC1; p=none; rua=mailto:dmarc@tudominio.es

v=DMARC1: siempre primero.
p=: la política. none (solo observar), quarantine (a spam) o reject (rechazar). Lo explicamos en qué política DMARC elegir.
rua=: dónde quieres recibir los informes. Sin esto no sabrás qué pasa.
sp=: la política para los subdominios, si quieres que sea distinta.
adkim= y aspf=: alineación relajada (r, la de siempre, admite subdominios) o estricta (s, el dominio exacto).

Por qué ahora es obligatorio

Gmail y Yahoo exigen DMARC desde febrero de 2024 a quien envía mucho correo a sus usuarios, y Outlook desde mayo de 2025. Vale con p=none, pero hay que tenerlo y pasarlo. Sin él, el correo se retrasa, va a spam o se rechaza (por ejemplo con el error 5.7.40 de Gmail o el 5.7.515 de Outlook). Todos los detalles en los requisitos de Gmail, Yahoo y Outlook.

Cómo empezar

Comprueba tu dominio arriba: te proponemos el registro exacto.
Publica DMARC con p=none y una dirección de informes. No cambia cómo se entrega tu correo.
Con los informes, autoriza en SPF y DKIM cada servicio que envía con tu dominio.
Cuando todo tu correo legítimo pase, sube a p=quarantine y después a p=reject.

Los informes llegan en XML y son difíciles de leer. Con una cuenta gratis los recibimos por ti y te los enseñamos por servicio, con semáforo.