¿Qué es DMARC?
El DMARC es el registro publicado en el DNS de un dominio que exige que el remitente exhibido en el mensaje, el que la persona lee en pantalla, sea el mismo dominio autenticado por el SPF o por el DKIM. También les dice a los proveedores qué hacer cuando esa coincidencia falla (p=none, p=quarantine o p=reject), y devuelve todos los días un informe de quién viene enviando en nombre del dominio. Es el único de los tres registros de autenticación de correo que, en política de bloqueo, efectivamente impide que alguien use el dominio de su empresa como remitente.
Cómo funciona el DMARC
El SPF autoriza servidores y el DKIM firma mensajes, pero ninguno de los dos mira la dirección que aparece en la pantalla del destinatario. El DMARC, sigla de Domain-based Message Authentication, Reporting and Conformance, entra exactamente ahí: compara lo que fue autenticado con lo que se está mostrando, y solo acepta cuando ambos coinciden. Esa comparación se llama alineación y es el corazón del estándar.
La empresa publica la política
Un registro de texto en el DNS declara qué quiere el dueño del dominio que ocurra cuando la verificación falle, y a qué dirección deben enviarse los informes.
El servidor de destino verifica el SPF y el DKIM
Al recibir el mensaje, el servidor ejecuta las dos verificaciones de siempre: el origen estaba autorizado, la firma es válida.
Compara con el remitente que aparece en pantalla
Este es el paso que solo el DMARC da. De nada sirve que el mensaje haya aprobado una verificación hecha sobre otro dominio: el estándar exige que el dominio autenticado y el dominio exhibido coincidan.
Aplica la política publicada
Si la alineación falla, el servidor hace lo que pidió el dueño del dominio: nada, enviarlo a cuarentena o rechazar la entrega.
Devuelve el informe
Diariamente, los proveedores envían a la dirección declarada un resumen de todo lo enviado en nombre del dominio, incluido lo que pasó, lo que falló y de dónde partió. Es la única fuente de visibilidad sobre quién está falsificando su nombre.
Fuente: RFC 7489, la especificación oficial del DMARC publicada por el IETF, que define la alineación de identificadores, las políticas y los informes, la documentación oficial de Microsoft sobre autenticación de correo, y el material de configuración de DNS de correo de N-able University.
Dónde termina el alcance del DMARC
- Es un control de salida, no de entrada. El DMARC impide que el mundo sea engañado con el nombre de su empresa. No filtra lo que le llega desde otros dominios: eso depende del filtrado en su entrada y de que su proveedor evalúe la política de quien envió. Hay una excepción que vale oro: cuando alguien falsifica su propio dominio hacia su propio equipo, es su política en bloqueo la que derriba el mensaje antes del buzón. Confundir ambas cosas lleva a dar por resuelto un problema que no lo está.
- No alcanza al dominio parecido. Contra un dominio de grafía similar, registrado por el delincuente y con autenticación propia y válida, no hay política que ayude, porque allí no se está falsificando nada.
- Se rompe cuando el mensaje se modifica en el camino. Las listas de correo y los servicios que alteran el contenido derriban la firma y la alineación, lo que exige un tratamiento aparte para no perder correo legítimo.
- En observación, no impide un solo mensaje falsificado. La política que solo pide informes es una herramienta de medición, y es el mínimo que Gmail, Yahoo y Microsoft aceptan de quien envía en volumen, pero no es defensa: mientras esté publicada, el mensaje falsificado se sigue entregando exactamente como antes.
Las tres políticas del DMARC
- Ninguna acción (p=none) Pide a los proveedores que no hagan nada más que enviar los informes. Sirve para descubrir quién envía en nombre del dominio antes de bloquear nada. Es un punto de partida legítimo y un pésimo lugar para estacionarse.
- Cuarentena (p=quarantine) Pide que el mensaje desalineado se trate como sospechoso y vaya a la carpeta de spam. Es el escalón intermedio, útil cuando todavía hay dudas sobre algún remitente poco frecuente.
- Rechazo (p=reject) Pide que el mensaje desalineado sea rechazado antes incluso de ser entregado. Es el único estado en el que nadie puede usar su dominio en el remitente, y el destino de cualquier implementación seria.
- Además de las tres: la política de los subdominios (sp=) Un parámetro aparte permite dar a los subdominios un trato distinto del dominio principal. Si no está, los subdominios heredan la política del dominio principal. El riesgo está en el subdominio que publica un registro propio y más flojo: ese registro es el que vale, y por ahí entra la suplantación.
Por qué publicar DMARC se volvió una exigencia de mercado
La adopción del DMARC casi se duplicó en tres años, pero el número que importa es el otro: la mayoría de los dominios que publicaron el registro se detuvo en la política que no pide nada. Existe una diferencia decisiva entre tres estados, y el mercado suele confundir los dos últimos: el control ausente, el control declarado y el control comprobadamente en vigor. Un dominio en observación aparece como protegido en cualquier verificación superficial, satisface la línea del informe interno de cumplimiento, y no impide un solo mensaje falsificado. Es el escalón donde vive la falsa tranquilidad. Y la vara dejó de ser interna: desde febrero de 2024, Gmail y Yahoo exigen autenticación a quien envía en volumen, y desde mayo de 2025 Microsoft rechaza, en sus buzones de consumo, la entrega de quien envía en volumen y no cumple el nivel exigido. La autenticación salió del territorio de la buena práctica y entró en el de la entregabilidad: sin ella, la propuesta comercial y la factura dejan de llegar.
Cómo llegar al DMARC en rechazo (p=reject) sin perder correo
El camino es siempre el mismo, y el apuro es lo que derriba correo legítimo. Cinco pasos, en orden:
- Publique en observación, con informes a un buzón que alguien leaEmpiece por la política que no pide acción, apuntando los informes a una dirección monitoreada. Que los informes lleguen a un buzón que nadie abre es el error más común, y convierte la etapa de medición en espera.
- Descubra quién envía realmente por su dominioLos informes diarios muestran cada origen que usa su nombre, incluidos sistemas contratados por otras áreas, que nunca pasaron por el inventario de TI. Es esa lista, y no la memoria de nadie, la que define cuándo es seguro avanzar.
- Corrija la autenticación de cada remitente legítimoPara cada sistema que aparece en el informe y debería estar ahí, asegure que el SPF cubre el origen y que el DKIM firma con el dominio correcto. Una alineación que no cierra siempre es uno de esos dos puntos.
- Suba a cuarentena y observeCon todos los legítimos pasando, cambie a cuarentena y siga los informes por algunas semanas. Si algo se escapó del mapeo, aparece en el spam en lugar de perderse.
- Suba a rechazo y cierre los subdominiosEste es el destino. Revise también los subdominios: cualquier registro publicado en uno de ellos prevalece sobre el del dominio principal, y uno antiguo y más flojo sigue sirviendo de puerta. Solo aquí el dominio de su empresa deja de ser utilizable por terceros.
En la práctica
Pregunte cuál es la política de su dominio, no si tiene DMARC. La respuesta “tenemos DMARC publicado” no dice nada sobre protección: si la política solo pide informes, cualquier persona del mundo puede seguir enviando correo con el nombre de su empresa, exactamente como antes de que el registro existiera. Lo que protege no es la presencia del registro, es lo que el registro le manda hacer al mundo.
Cómo Zamak trata el DMARC
Zamak Technologies conduce el DMARC como un camino medido hasta el rechazo, nunca como un registro publicado y olvidado: observación con los informes llegando a un buzón que se lee, mapeo de todos los remitentes, corrección del SPF y del DKIM de cada uno de ellos y promoción a bloqueo solo con evidencia de que nada legítimo se pierde, junto al equipo que ya cuida el dominio. La verificación de suplantación de correo muestra en segundos cuál es la política publicada hoy en su dominio. El seguimiento continuo de los informes forma parte de la Seguridad de Correo Gestionada y de la Ciberseguridad gestionada del Método Zamak.