¿Qué es un registro DMARC?
Un registro DMARC es un registro TXT de DNS publicado en _dmarc.sudominio.com que indica a los servidores de correo receptores qué hacer cuando la autenticación SPF o DKIM falla. Especifica su política (none, quarantine o reject), requisitos de alineación y dónde enviar informes agregados y forenses.
Definido en RFC 7489 — requerido por Google, Yahoo, Microsoft y PCI DSS v4.0.
¿Cómo se ve un registro DMARC?
Un registro DMARC completo con todas las etiquetas comunes, desglosado etiqueta por etiqueta.
v=DMARC1; p=reject; rua=mailto:dmarc@ejemplo.com; ruf=mailto:forense@ejemplo.com; adkim=s; aspf=r; pct=100; sp=reject
v=DMARC1 Versión (requerido) p=reject Política: bloquear fallos rua= Dirección de informes agregados ruf= Dirección de informes forenses adkim=s Alineación DKIM estricta aspf=r Alineación SPF relajada pct=100 Aplicar al 100% de fallos sp=reject Política de subdominio: reject Reglas de estructura del registro DMARC
Un registro DMARC válido debe seguir estas reglas. Violar cualquiera de ellas hace que los receptores ignoren el registro por completo.
Un registro por dominio
Un dominio debe tener exactamente un registro TXT DMARC. Múltiples registros causan un PermError y los receptores ignoran todos.
Publicado en el subdominio _dmarc
El registro debe ser un registro TXT en _dmarc.sudominio.com — no en el dominio raíz, no en _dmarc.www.sudominio.com.
Debe comenzar con v=DMARC1
La etiqueta v= debe ser la primera etiqueta en el registro. Cualquier otra etiqueta que aparezca primero hace que el registro sea inválido.
Etiquetas separadas por punto y coma
Cada etiqueta se separa por un punto y coma y espacio opcional: v=DMARC1; p=reject; rua=mailto:...
Nombres de etiquetas sin distinción de mayúsculas
Los nombres de etiquetas (p=, rua=, adkim=) no distinguen mayúsculas, pero los valores son sensibles a mayúsculas en algunas etiquetas.
Ejemplos de registros DMARC por fase
Tres registros para las tres fases del despliegue DMARC. Cada fase requiere un mínimo de 90 días de monitoreo. El recorrido completo hasta p=reject típicamente toma de 9 a 18 meses.
v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.com; fo=1
Comience aquí. Los receptores entregan todo el correo normalmente pero le envían informes agregados diarios. La etiqueta fo=1 genera informes forenses cuando SPF o DKIM falla, dando máxima visibilidad.
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@ejemplo.com; ruf=mailto:forense@ejemplo.com; adkim=r; aspf=r
Después de más de 90 días de monitoreo con p=none, pase a quarantine con pct=25. Solo el 25% de los mensajes que fallan van a spam. Aumente pct= gradualmente (50, 75, 100) durante varias semanas a medida que confirma que el correo legítimo aprueba.
v=DMARC1; p=reject; rua=mailto:dmarc@ejemplo.com; ruf=mailto:forense@ejemplo.com; adkim=s; aspf=s; sp=reject
El objetivo final. Todos los mensajes que fallan DMARC se rechazan a nivel SMTP. La alineación estricta asegura coincidencia exacta del dominio. sp=reject extiende la protección a todos los subdominios. Alcanzar esta etapa típicamente toma de 9 a 18 meses.
¿Cómo se verifica un registro DMARC?
Use una herramienta verificadora DMARC para consultar el registro TXT de DNS en _dmarc.sudominio.com y validar que la sintaxis, etiquetas y valores sean correctos.
- Valida la sintaxis y el orden de las etiquetas del registro
- Verifica múltiples registros en conflicto
- Comprueba que las direcciones rua= y ruf= sean accesibles
- Confirma el modo de alineación y la configuración de la política
¿Cómo se crea un registro DMARC?
Use nuestro Generador de registros DMARC gratuito para crear un registro válido en segundos — elija su política, ingrese su dirección de informes y copie el registro TXT en su DNS.
Genere su registro DMARC →Preguntas frecuentes sobre registros DMARC
¿Puedo tener múltiples registros DMARC para un dominio?
No. Un dominio debe tener exactamente un registro TXT DMARC en _dmarc.sudominio.com. Si existen múltiples registros, los receptores devuelven un PermError e ignoran todos. Para enviar informes a múltiples direcciones, lístelas separadas por comas en la etiqueta rua=: rua=mailto:dir1@ejemplo.com,mailto:dir2@ejemplo.com.
¿Dónde agrego mi registro DMARC en DNS?
Agregue un registro TXT con el host/nombre establecido como _dmarc (su proveedor de DNS agrega el dominio automáticamente). El tipo de registro es TXT y el valor es su cadena de política DMARC que comienza con v=DMARC1. Los cambios se propagan en minutos a 48 horas dependiendo de la configuración del TTL.
¿Cuál es el registro DMARC mínimo válido?
El registro DMARC mínimo válido es v=DMARC1; p=none — solo las etiquetas de versión y política. Sin embargo, sin rua= no recibe informes y no tiene visibilidad. El mínimo práctico es v=DMARC1; p=none; rua=mailto:su-direccion@ejemplo.com.
¿Qué sucede si mi registro DMARC tiene un error de sintaxis?
Los receptores que detectan un error de sintaxis tratarán el registro como si no existiera registro DMARC. Los mensajes se entregan basándose solo en los resultados de SPF y DKIM, sin aplicación de política DMARC. Use un verificador DMARC para validar la sintaxis de su registro antes de publicar.
¿Cuánto tiempo tarda un registro DMARC en tomar efecto?
Los registros DMARC toman efecto tan pronto como se completa la propagación DNS, típicamente en minutos a 48 horas. Sin embargo, los informes agregados comienzan a llegar entre 24 y 72 horas después de publicar porque los receptores procesan informes por lotes diariamente. Espere una semana completa antes de concluir que los informes no se están generando.
¿Los subdominios necesitan sus propios registros DMARC?
Los subdominios heredan la política DMARC del dominio padre automáticamente. Solo necesita un registro DMARC separado para el subdominio si este requiere una política diferente. La etiqueta sp= en el registro del dominio padre también puede establecer una política específica para subdominios sin crear registros separados.
Verifique su registro DMARC ahora
Valide la sintaxis, etiquetas y configuración de informes de su registro en segundos con nuestro verificador DMARC gratuito.
Verificar registro DMARCConfiado por equipos de seguridad en todo el mundo
Rated 4.8/5 on G2 · 469 verified reviews
Dave G.
Owner
"DMARC Report has been invaluable in fixing email deliverability issues for our clients"
DMARC Report dashboard allows us to see easily what is compliant and what isn't compliant so we can quickly fix issues.
Zunaid K.
Director
"Essential tool for email delivery"
This tool helps us to implement DMARC reporting for our domains in an easy to use manner.
Verified User in Information Technology and Services
"Best security tool for your own domains"
The weekly reports help me a lot to analyze quickly the emails sent from my domains and that gives me peace of mind.