Cómo comprobar el registro DMARC de un dominio (y leer la política)

El registro DMARC de un dominio es un único registro TXT en _dmarc. delante del dominio, y su etiqueta p= es la política. Escribe el dominio en el comprobador de DMARC: lee el registro en bruto, explica cada etiqueta (p, sp, pct, rua, adkim, aspf) y te dice con claridad si la política bloquea el correo suplantado o solo informa sobre él.

Comprueba el registro DMARC de un dominio →

Comprueba DMARC con la herramienta

1. Abre el comprobador de DMARC.
2. Escribe el dominio, por ejemplo example.com. No añadas _dmarc tú mismo; la herramienta busca en el lugar correcto.
3. Lee primero la línea de la política: none, quarantine o reject.
4. Lee las etiquetas de debajo, sobre todo sp= (la política de los subdominios) y rua= (adónde van los informes agregados).

Compruébalo a mano

dig +short txt _dmarc.google.com
# "v=DMARC1; p=reject; rua=mailto:[email protected]"

dig +short txt _dmarc.github.com
# "v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1"

nslookup -type=txt _dmarc.google.com
# _dmarc.google.com	text = "v=DMARC1; p=reject; rua=mailto:[email protected]"

Ejecutamos estos comandos el 8 de noviembre de 2026. El registro de GitHub muestra la diferencia entre p= y sp=: el correo de github.com que falla DMARC va a cuarentena, y el de sus subdominios se rechaza.

dig +short txt _dmarc.docs.github.com no devolvió nada, y es normal. El RFC 7489, sección 6.6.3 indica a los receptores que recurran al registro del dominio organizativo cuando el dominio exacto no tiene uno. La misma sección dice que si el conjunto contiene más de un registro DMARC, o ninguno, no se aplica el procesamiento DMARC.

Cómo leer el resultado

• p=none: solo informes. El correo que falla se entrega. Las directrices para remitentes de Google exigen a los remitentes masivos publicar DMARC y dicen que la política puede ser none, así que muchos dominios se quedan aquí.
• p=quarantine: el correo que falla se trata como sospechoso, normalmente va a la carpeta de spam.
• p=reject: el correo que falla se rechaza.
• pct=: la proporción del correo que falla a la que se aplica la política. Por debajo de 100 significa un despliegue parcial.
• rua=: adónde van los informes agregados diarios. Sin ella no recibes informes.
• No se encuentra nada: no hay DMARC, o el registro se publicó con un nombre equivocado. Comprueba que el host sea _dmarc y no _dmarc.example.com.example.com.

Para registros funcionales que copiar, consulta los ejemplos de registros DMARC. Para pasar de none a una política aplicada, consulta DMARC de none a reject.

Siguiente paso: comprueba las direcciones a las que escribes

DMARC protege tu dominio; no evita los rebotes de direcciones muertas de tu lista, que dañan la misma reputación de envío. Sube la lista en /verify para comprobar cada buzón sin enviar nada. Las primeras 100 comprobaciones son gratis al iniciar sesión con Google, sin tarjeta.

Pro, $39 al mes: verificación de correos ilimitada.* Nunca medida, nunca se corta. Consulta los precios.

*Uso razonable: las primeras 100.000 verificaciones del mes a máxima velocidad, después más lento, nunca se corta.

Más para leer: SPF, DKIM y DMARC explicados, consultar los registros TXT de un dominio.