Verificador de DMARC: consulta el registro DMARC de un dominio

Son las tres políticas que puede publicar un dominio, de la más débil a la más fuerte. p=none es solo monitorización: el correo que falla se entrega normalmente y tú recibes informes sobre él. Es el punto de partida correcto y el punto final equivocado: cualquiera puede suplantar un dominio en p=none.

p=quarantine pide a los receptores tratar como sospechoso el correo que falla, que en la práctica significa mandarlo a spam. p=reject les pide rechazarlo directamente. La meta es reject, y el camino es publicar none, leer los informes hasta que todos los remitentes legítimos pasen y después subir.

En un mensaje, DMARC comprueba la alineación: si el dominio que pasó SPF o DKIM coincide con el dominio del From. DMARC añade un requisito que ni SPF ni DKIM tienen por separado: el dominio que pasó la autenticación debe coincidir con el de la cabecera From visible. Eso cierra justo el hueco que permitía a un spammer pasar SPF con su propio dominio mientras mostraba el tuyo.

La alineación puede ser relajada, la opción por defecto, en la que un subdominio coincide con el dominio principal, o estricta con aspf=s y adkim=s, en la que debe coincidir exactamente. La relajada es la adecuada para la mayoría, porque los proveedores de envío firman a menudo con un subdominio.

Son las direcciones de los informes. rua= indica adónde van los informes agregados: resúmenes diarios en XML de lo que pasó y lo que falló, por cada fuente de envío. Así descubres ese proveedor del que nadie te avisó y que lleva un año enviando con tu dominio.

ruf= pide informes forenses de cada fallo individual. La mayoría de los grandes receptores ya no los envían por privacidad, así que no cuentes con ellos. Los informes agregados son la mitad útil, y son difíciles de leer a mano, así que conviene enviarlos a un servicio que los procese.

Sí, a los remitentes masivos. Desde febrero de 2024, Google y Yahoo exigen un registro DMARC en cualquier dominio que envíe correo masivo a sus usuarios. Publicar p=none cumple el requisito, y por eso muchísimos dominios publicaron exactamente eso y se quedaron ahí.

Es una mejora real frente a no tener nada, porque activa los informes. Pero la protección solo llega con quarantine o reject, y un dominio que se queda en p=none indefinidamente tiene el papeleo sin la protección. Para crear el registro paso a paso, usa el DMARC generator (en inglés).