Cómo comprobar el DMARC de todos los dominios de tus clientes a la vez

Pega todos los dominios de tus clientes en el comprobador masivo de DMARC y filtra por política. Cada fila muestra si el dominio tiene un registro DMARC, su política (none, quarantine o reject), la política de subdominios, adónde van los informes agregados y los ajustes de alineación. Ves de un vistazo qué clientes no tienen DMARC, cuáles solo están monitorizando y cuáles aplican la política.

Comprueba el DMARC de una lista de dominios →

Compruébalos de forma masiva

1. Abre el comprobador masivo de DMARC.
2. Pega los dominios, uno por línea: hasta 100 por ejecución, o 500 tras iniciar sesión gratis con Google. También sirven direcciones de correo y URL; se toma el dominio de cada una.
3. Pulsa Check DMARC (comprobar DMARC).
4. Lee cada fila: Reject, Quarantine, Monitoring only, Partly enforced, Broken o No DMARC, con las etiquetas que hay detrás.
5. Filtra por política, por ejemplo todos los dominios en Monitoring only, y descarga el CSV para el informe del cliente.

Hazlo a mano

printf "google.com\ngithub.com\ndebian.org\nshopify.com\nneverssl.com\ntest.com\n" > clients.txt

while read -r d; do
  rec=$(dig +short txt "_dmarc.$d" | tr -d '"' | grep '^v=DMARC1')
  p=$(echo "$rec" | sed -n 's/.*[; ]p=\([a-z]*\).*/\1/p')
  echo "$d,${p:-NO DMARC}"
done < clients.txt
# google.com,reject
# github.com,quarantine
# debian.org,none
# shopify.com,reject
# neverssl.com,NO DMARC
# test.com,NO DMARC

Lo ejecutamos el 9 de noviembre de 2026. Dos filas merecen una mirada más atenta:

• shopify.com: dig +short txt _dmarc.shopify.com imprime primero dmarcreject.shopify.com., porque el nombre _dmarc es un CNAME. El registro al que apunta dice p=reject. Muchas empresas gestionan DMARC de forma centralizada así.
• test.com: hay un registro TXT en _dmarc.test.com, pero no empieza por v=DMARC1, así que los receptores lo descartan. Por eso el bucle solo conserva las líneas que empiezan por v=DMARC1.

El patrón de sed busca p= después de un punto y coma o un espacio, para no confundir sp=reject con la política principal. El bucle no hace lo que hacen los receptores con un subdominio sin registro propio: la RFC 9989, sección 4.10 les indica subir por el árbol DNS hasta el registro del dominio padre. El comprobador masivo sí hace ese recorrido y marca la fila como heredada.

Ordena los resultados en tres montones

• Sin DMARC. Sin registro, con un registro que no empieza por v=DMARC1, o con dos registros en el mismo nombre. La RFC 9989 indica a los receptores que los descarten todos cuando se devuelve más de uno. Estos clientes van primero. Las directrices para remitentes de Google exigen a los remitentes masivos publicar DMARC.
• p=none. Solo informes. La misma página de Google dice que la política puede ser none, así que esto cumple el mínimo, pero el correo suplantado se sigue entregando. Comprueba que rua= está definido, o nadie está leyendo los informes.
• Quarantine o reject. La política se aplica. Comprueba también sp=: un cliente puede estar en reject en el dominio principal mientras los subdominios siguen en none.

Qué cambió en mayo de 2026

La RFC 9989 sustituyó a la RFC 7489 como estándar DMARC. Tres cambios importan al leer los registros de los clientes:

• pct= desaparece. El apéndice A.6 explica que los valores distintos de 0 y 100 no se aplicaban de forma coherente. Los registros con pct= siguen funcionando con los receptores que lo leen, pero no planifiques un despliegue en torno a él.
• t=y es el nuevo indicador de prueba. Pide a los receptores aplicar un nivel por debajo de la política indicada, así que p=reject; t=y se trata como quarantine.
• np= cubre los subdominios que no existen. Fija una política para nombres inventados como invoice.client.com que crean los spammers.

Para llevar a un cliente de none a la aplicación de la política, consulta DMARC de none a reject. Para leer los informes que llegan, consulta cómo leer los informes agregados de DMARC.

Siguiente paso: comprueba las listas que envías para tus clientes

DMARC protege el dominio de un cliente frente a la suplantación. No evita los rebotes de direcciones muertas en las listas que envías para ellos, que dañan la misma reputación. Sube cada lista en /verify para comprobar cada buzón sin enviar nada. Las primeras 100 comprobaciones son gratis al iniciar sesión con Google, sin tarjeta.

Pro, $39 al mes: verificación de correos ilimitada.* Nunca medida, nunca se corta. Consulta los precios.

*Uso razonable: las primeras 100.000 verificaciones del mes a máxima velocidad, después más lento, nunca se corta.

Más para leer: comprobar el registro DMARC de un dominio, cómo informan las agencias a sus clientes sobre la verificación de listas.