Herramienta gratuita
Qué política pides, a dónde van los informes y cuál es el siguiente paso hacia reject.
Referencia
SPF y DKIM dicen si un mensaje está autenticado. DMARC exige que lo esté con tu dominio, el que ve el destinatario, y dice qué hacer cuando no: entregarlo igual, mandarlo a spam o rechazarlo.
La política
p= dice qué hacer con el correo que falla: none lo entrega igual y solo pide informes, quarantine lo manda a spam y reject lo rechaza. Se empieza por none y se sube de escalón cuando los informes dicen que todo tu correo legítimo pasa.
El valor de p=
p=none
solo vigilar: se entrega igual
p=quarantine
a la carpeta de spam
p=reject
rechazado: no llega
La alineación
Un mensaje pasa DMARC si pasa SPF o DKIM y, además, el dominio que pasa es el del remitente que ve el destinatario. Un suplantador puede pasar SPF con su propio dominio, pero no alinearlo con el tuyo.
Un correo de tudominio.com
ejemploFrom: facturas@tudominio.com
lo que ve el destinatario
DKIM d=tudominio.com
firma de tu dominio
SPF bounce.proveedor.com
pasa, pero es otro dominio
Los informes
Con rua, los servidores que reciben tu correo te mandan informes en XML (suelen ser diarios) con quién ha enviado con tu dominio, desde qué IP y si pasó. Son los que te dejan subir de none a reject sin dejar fuera tu propia tienda o tus boletines. Si van a un buzón de otro dominio, ese dominio tiene que aceptarlos.
Un informe agregado, resumido
ejemplo203.0.113.10
tu servidor · 1.204 mensajes
198.51.100.25
Google Workspace · 380 mensajes
192.0.2.77
nadie que conozcas · 52 mensajes
Es un TXT en _dmarc.tudominio.com que dice qué hacer con el correo que usa tu dominio en el remitente y no pasa SPF ni DKIM alineados, y a dónde mandar los informes. Un registro para empezar: v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com. Crea antes el buzón de los informes.
Empieza por p=none: no cambia nada en la entrega y te llegan los informes. Cuando veas que todo tu correo legítimo pasa (tu buzón, los formularios de la web, la tienda, los boletines, la facturación), sube a quarantine y, más adelante, a reject. Saltarse escalones es la forma más rápida de que tus propias facturas acaben en spam.
Si un subdominio no publica su propio _dmarc, se le aplica el del dominio principal: lo que diga sp= o, si no lo tiene, p=. Este comprobador lo tiene en cuenta: si escribes un subdominio sin registro propio, te enseña el que hereda y la política que le toca.
Primero, que el registro tenga rua=mailto: con un buzón que reciba correo. Si ese buzón es de otro dominio, ese dominio tiene que aceptar los informes publicando tudominio.com._report._dmarc.otrodominio.com; los servicios de informes lo hacen al dar de alta tu dominio, y aquí lo comprobamos. Aun así, no todos los servidores envían informes ni con la misma frecuencia. Si ya te llegan y no sabes leerlos, empieza por nuestra guía de informes DMARC.
Gmail y Yahoo lo exigen desde 2024 a quien les envía más de 5.000 mensajes al día, pero conviene a cualquiera: sin DMARC, nada le dice al servidor que recibe que debe desconfiar de un correo que usa tu dominio sin estar autenticado por ti. Con p=none no arriesgas nada y empiezas a ver quién lo usa. Para comprobar un envío real de punta a punta, prueba nuestro test de correo.
