Cómo crear y publicar un registro DMARC

DMARC, o Autenticación, Informes y Conformidad de Mensajes Basados en Dominios, es un protocolo técnico para autenticar mensajes salientes. DMARC sirve como primera línea de defensa contra una variedad de amenazas basadas en el correo electrónico, incluyendo el phishing y el spoofing. 

Para configurar DMARC, es necesario crear un registro DMARC. El registro DMARC creado es un registro TXT que luego se publica en su DNS. Esto inicia el proceso de autenticación de correo electrónico.

Al configurar un registro DMARC, usted permite a los propietarios de dominios indicar a los destinatarios cómo deben responder a los correos electrónicos enviados desde fuentes no autorizadas o ilegítimas.

Consejo de experto de Maitham Al Lawati: «Para las organizaciones del sector sanitario o financiero, DMARC no es solo una cuestión de seguridad. Se trata de cumplir con estrictos requisitos de cumplimiento normativo. Empiece por la supervisión y, después, aplique las medidas».

Esta guía le explica cómo crear y publicar correctamente un registro TXT de DMARC en DNS, además de cómo verificarlo y solucionar los errores más comunes.

¿Qué son los registros DMARC?

Un registro DMARC es un registro DNS TXT que especifica cómo deben gestionar los servidores de correo electrónico los mensajes que no superan las comprobaciones de autenticación (SPF y DKIM).

Ayuda a los propietarios de dominios evitar la suplantación de identidad en el correo electrónico y el phishing indicando a los servidores receptores si deben rechazar, poner en cuarentena o permitir los correos electrónicos no autorizados.

¿Cómo funciona DMARC?

DMARC se basa en dos protocolos de autenticación de correo electrónico ya existentes: SPF (Sender Policy Framework) y DKIM (DomainKeys Identified Mail). A continuación se describe el proceso de autenticación paso a paso:

1. Correo electrónico enviado: Se envía un correo electrónico que dice proceder de tu dominio
2. Comprobación de SPF: El servidor receptor comprueba si la IP remitente está autorizada en tu registro SPF
3. Comprobación DKIM: El servidor verifica la firma DKIM con tu clave DKIM publicada
4. Evaluación de DMARC: El servidor comprueba tu política DMARC y determina la alineación
5. Aplicación de la política: En función de su política DMARC (ninguna, cuarentena, rechazar), se toma la medida adecuada
6. Informes: Los resultados se recopilan y se envían a las direcciones de informe que usted haya especificado

Punto clave: DMARC requiere que al menos uno de los protocolos SPF o DKIM sea válido Y esté correctamente alineado con el dominio en el encabezado «De» para que el correo electrónico supere la autenticación DMARC.

Anatomía de un registro DMARC

Comprender cada etiqueta DMARC es esencial para una configuración adecuada. A continuación se ofrece un desglose completo de todos los componentes del registro DMARC:

Ejemplos de registros DMARC

A continuación se muestran ejemplos reales de registros DMARC para diferentes casos de uso. Copiarlos y personalizarlos para su dominio:

Modo de supervisión básico (recomendado para principiantes)

• v=DMARC1; p=none; rua=mailto:[email protected]
• Caso de uso: Implementación inicial Implementación de DMARC para supervisar el tráfico de correo electrónico sin aplicación de medidas coercitivas.

Política de cuarentena con notificación

• v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=25
• Caso de uso: aplicación gradual que afecta al 25 % de los correos electrónicos, con informes tanto agregados como forenses.

Política de cumplimiento estricto

• v=DMARC1; p=rechazar; sp=rechazar; rua=mailto:[email protected]; adkim=s; aspf=s
• Caso de uso: Protección completa con alineación estricta tanto para el dominio como para los subdominios.

Protección de dominios que no envían correos

• v=DMARC1; p=rechazar; sp=rechazar; adkim=s; aspf=s
• Caso de uso: Dominios que no envían correos electrónicos pero necesitan protección contra la suplantación de identidad.

Explicación de las etiquetas de registro DMARC

Tabla comparativa de políticas DMARC

1. Modos de política DMARC

La política DMARC define cómo deben tratar los receptores los correos electrónicos que no superan la autenticación DMARC. Se denota por "p". Puede tener cualquiera de los tres valores siguientes: 

• p=none: No tomar ninguna medida frente a los correos electrónicos no autorizados.
• p = cuarentena: Para marcar los correos electrónicos sospechosos. 
• p=rechazar: Para rechazar los correos electrónicos no autorizados antes de que lleguen a tus destinatarios.

2. Opciones de informes DMARC

• Informes agregados (rua=): Se trata de informes resumidos que se envían a la dirección de correo electrónico especificada y que muestran los resultados de la autenticación de todos los correos electrónicos procedentes del dominio.
• Informes forenses (ruf=): Se trata de informes detallados de fallos que se envían cuando un correo electrónico no supera la autenticación DMARC.

3. Modos de alineación DMARC

• Alineación SPF (aspf=): Determina si el dominio del remitente en el encabezado «From:» coincide con el registro SPF. Existe la opción de elegir entre una alineación estricta (s), que requiere una coincidencia exacta, o una alineación flexible (r), que admite una coincidencia a nivel de organización. 
• Alineación DKIM (adkim=): Determina si la firma DKIM se corresponde con el dominio del encabezado «De:». Existe la opción de elegir entre una alineación estricta (s) para una coincidencia exacta o una alineación flexible (r) para una coincidencia organizativa. 

Cómo funciona DMARC con los subdominios

La etiqueta «sp» (política de subdominio) controla cómo se aplican las políticas DMARC a los subdominios. Si no se especifica, los subdominios heredan la política del dominio principal.

• Herencia: los subdominios heredan automáticamente la política DMARC del dominio principal
• Anulación: utiliza la etiqueta «sp=» para establecer políticas diferentes para los subdominios
• Práctica recomendada: Establecer políticas más estrictas para los subdominios que no envían correos electrónicos

¿Cómo crear un registro DMARC?

Para crear un registro DNS DMARC para su dominio, asegúrese de que dispone de: 

1. a) una herramienta fiable para generar el registro
2. b) acceso a su consola de gestión de DNS para publicar el registro

Siga los pasos que se indican a continuación para crear su registro:

1. Genere su registro DMARC 

Empieza tu prueba gratuita de 15 días de DMARC Security para acceder a nuestro portal con una dirección de correo electrónico o regístrate utilizando Gmail/Office 365. Ve a Herramientas de análisis > PowerToolbox > Herramienta gratuita para generar registros DMARC para empezar a crear tu registro DMARC.

2. Defina una política DMARC para su registro DMARC.

Decidir una política DMARC en función del nivel de aplicación que desee (ninguno, cuarentena o rechazo). A continuación se explica cómo elegir la política de registro DMARC:

• Si quieres que no se tomen medidas contra los correos electrónicos no solicitados enviados desde tu dominio, elige "ninguna".
• Si desea poner en cuarentena los correos electrónicos que fallan DMARC, elija "cuarentena".
• Si desea rechazar o descartar los correos electrónicos que no superen la autenticación, lo que puede minimizar los ataques de suplantación de identidad y phishing, elija "rechazar".

3. Configure los campos opcionales recomendados del registro DMARC 

Aunque no todos los campos son obligatorios, le recomendamos que configure algunos campos opcionales útiles en su registro DMARC. Averigüemos cuáles son:

1. Campo de informes agregados (rua): Si configura el campo rua, recibirá los datos de autenticación DMARC directamente en su dirección de correo electrónico. 
2. Campo de informe forense (ruf): Obtenga información sobre incidentes forenses como ciberataques configurando el campo ruf en su registro DMARC. 
3. Modos de alineación DKIM/SPF" Elija si desea optar por una alineación relajada o estricta para SPF y/o DKIM.

¿Cómo publicar un registro DMARC?

Para publicar un registro DMARC, existen algunos requisitos previos: 

• Debe tener acceso a su consola de gestión de DNS 
• Debe tener permiso para editar y añadir nuevos registros DNS para su dominio

Publicación de su registro DMARC con cPanel

1. Accede a tu consola de gestión de DNS de cPanel
2. En la sección «Dominios», haz clic en «Editor de zonas DNS» o en «Editor de zonas avanzado».

3. Añade un registro DMARC de tipo TXT (texto) y rellena los datos como se muestra a continuación. En el campo «Datos TXT» o «valor», debes pegar el registro DMARC que has creado anteriormente.

Publicación de un registro DMARC con Godaddy

1. Inicie sesión en su cartera de dominios de GoDaddy para acceder a la zona DNS
2. En Nombre de dominio, busque y seleccione su dominio de envío de correo electrónico
3. Debajo de su nombre de dominio, haga clic en DNS
4. Ahora seleccione Añadir nuevo registro y comience a publicar su registro con los siguientes detalles:

• Tipo: TXT
• Nombre: _dmarc
• Valor: pega el valor de tu registro DMARC

Publicación de un registro DMARC con Cloudflare 

1. Inicie sesión en su cuenta de Cloudflare.  
2. Seleccione la cuenta y el dominio deseados.  
3. Vaya a DNS y haga clic en Añadir registro  
4. Pegue el registro DMARC generado en la sección Añadir registro, como en el ejemplo siguiente:

Cómo comprobar tu registro DMARC

Una vez publicado tu registro DMARC, es fundamental comprobar que funciona correctamente. A continuación te ofrecemos un proceso de verificación paso a paso:

Lista de verificación paso a paso para los registros DMARC

1. Utiliza herramientas de búsqueda de DNS: Comprueba si tu registro DMARC se ha publicado correctamente utilizando herramientas como nslookup o dig
2. Comprobar la sintaxis: Utiliza validadores DMARC en línea para comprobar si hay errores de sintaxis
3. Comprobación de la autenticación del correo electrónico: Envía correos electrónicos de prueba y comprueba los encabezados para ver los resultados de DMARC
4. Informes de supervisión: Espere a recibir los informes DMARC para confirmar el correcto funcionamiento
5. Comprobar varios servidores DNS: Comprueba la propagación en diferentes servidores DNS a nivel mundial

Herramientas recomendadas para la validación de DMARC

• Verificador DMARC de PowerDMARC: Herramienta de validación completa y gratuita
• Búsqueda DMARC de MXToolbox: Verificación rápida de registros DNS
• Caja de herramientas de administración de Google: Herramienta de análisis para la inspección de registros DNS

He aquí por qué más de 10 000 clientes confían en PowerDMARC: inteligencia sobre amenazas basada en IA, un proceso de incorporación de primera clase, cumplimiento de las normas SOC 2 e ISO 27001, y gestión automatizada de múltiples dominios

• Enorme reducción de los intentos de suplantación de identidad y los correos electrónicos no autorizados.
• Incorporación más rápida + gestión automatizada de la autenticación
• Inteligencia y notificación de amenazas en tiempo real en todos los dominios
• Mejores tasas de entrega de correo electrónico gracias a la estricta aplicación de DMARC.

Los primeros 15 días corren por nuestra cuenta.

Empieza tu prueba gratuita de 15 días de seguridad DMARC

Verificación de su registro DMARC

Para verificar su registro DMARC y evitar el error común error «No se ha encontrado ningún registro DMARC» , puede utilizar nuestra herramienta de verificación gratuita.

1. Regístrate gratis y ve a Herramientas de análisis > PowerToolbox > Herramienta de verificación de registros DMARC

2. Revise el estado, la sintaxis y las etiquetas de su registro DMARC para descubrir cualquier error que pueda tener.

¿Listo para verificar tu registro DMARC? Utilice el verificador DMARC gratuito de PowerDMARC.

Errores habituales en los registros DMARC que hay que evitar

Evita estos errores de configuración habituales de DMARC que pueden poner en riesgo la seguridad y la capacidad de entrega de tu correo electrónico:

1. Errores de sintaxis y configuración

• Faltan puntos y comas: Cada etiqueta debe estar separada por punto y coma
• Espacios adicionales: Evita los espacios innecesarios alrededor de las etiquetas y los valores
• Versión incorrecta: Utilice siempre «v=DMARC1» (no v=DMARC2 ni similares)
• Direcciones de correo electrónico no válidas: Asegúrate de que las direcciones de notificación sean válidas y accesibles

2. Errores en la aplicación de las políticas

• Pasar a p=rechazar demasiado pronto: Empieza con p=none para la supervisión
• No configurar primero SPF y DKIM: DMARC requiere que se configuren estos protocolos
• Ignorar las políticas de subdominios: Considere la posibilidad de establecer valores sp= adecuados

3. Errores en la gestión de registros

• Múltiples registros DMARC: Solo se permite un registro DMARC por dominio
• Nombre del registro DNS incorrecto: Debe ser exactamente «_dmarc.sudominio.com»
• Tipo de registro incorrecto: Debe ser un registro de tipo TXT

4. Fallos en el seguimiento y la presentación de informes

• No se ha configurado la generación de informes: La ausencia de la etiqueta rua= implica que no hay visibilidad de la autenticación del correo electrónico
• Ignorar los informes DMARC: Los informes contienen información crucial sobre seguridad
• Uso de direcciones de notificación inaccesibles: asegúrate de que puedes recibir y tramitar las notificaciones

Solución de problemas comunes relacionados con los registros DMARC

Utilice esta lista de verificación paso a paso para resolver problemas comunes relacionados con los registros DMARC:

Errores comunes en los registros DMARC

Una vez que detecte errores en su registro, debe implementar los cambios necesarios en su DNS y guardar los cambios. Puede volver a comprobar su registro una vez procesados los cambios.

Cómo interpretar los informes DMARC

Los informes DMARC ofrecen información esencial sobre el rendimiento de la autenticación de tu correo electrónico y las posibles amenazas de seguridad. Esto es lo que debes saber:

Tipos de informes DMARC

1. Informes agregados (RUA)

• Frecuencia: Resúmenes diarios de todos los resultados de la autenticación de correo electrónico
• Contenido: Estadísticas de volumen, resultados de autenticación, direcciones IP de origen
• Caso de uso: Supervisar el estado general de la autenticación del correo electrónico e identificar tendencias

2. Informes forenses (RUF)

• Frecuencia: Informes en tiempo real sobre fallos de autenticación
• Contenido: Encabezados detallados de los correos electrónicos y motivos del fallo de autenticación
• Caso de uso: Investigar fallos de autenticación específicos y posibles ataques

Cómo interpretar los informes DMARC

Indicadores clave que hay que supervisar:

• Índice de superación de DMARC: Porcentaje de correos electrónicos que superan la autenticación DMARC
• Coincidencia de SPF/DKIM: ¿En qué medida se alinean tus protocolos de autenticación?
• Análisis de la fuente: Identificar las fuentes de envío legítimas frente a las sospechosas
• Repercusiones de la política: Efectos de las políticas de cuarentena/rechazo en la entrega de correos electrónicos

Uso de informes para mejorar la seguridad del correo electrónico

1. Identificar remitentes legítimos: Asegúrese de que todas las fuentes de correo electrónico autorizadas estén correctamente configuradas
2. Detecta intentos de suplantación de identidad: Supervise el uso no autorizado de su dominio
3. Optimizar la autenticación: Solucionar problemas de alineación de SPF y DKIM
4. Aplicación gradual de las políticas: Utilice los datos para pasar de forma segura de la supervisión a la aplicación

Registro DMARC para dominios no remitentes 

La mayoría de la gente se limita a proteger sus dominios activos, ¡pero los atacantes pueden suplantar incluso tus dominios que no envían correos para enviar mensajes falsos en tu nombre! Para evitarlo, estos son los pasos que debes seguir para implementar DMARC en tus dominios que no envían correo: 

• Publica un registro DMARC no permisivo: empieza por publicar un registro DMARC para el dominio inactivo con una política de aplicación obligatoria, como p=reject. 
• Habilitar los informes (recomendado): aunque tu dominio no envíe correos electrónicos, los atacantes pueden suplantarlo para enviar mensajes de phishing. Los informes DMARC te avisan cuando esto ocurre.
• Publica un registro SPF restrictivo: configura v=spf1 -all para impedir el envío de correos electrónicos.
• Desactivar los servicios de correo electrónico integrados: si el dominio sigue vinculado a servidores de correo electrónico externos, puede ser conveniente restringir el acceso a ellos si el dominio ya no se utiliza. 

Consecuencias de no proteger los dominios inactivos 

No implantar DMARC para sus dominios no remitentes puede acarrear diversas consecuencias, como por ejemplo 

• Mayor riesgo de ataques de suplantación de identidad y phishing 
• Daños a la reputación de la marca y del dominio 
• Abuso de dominios que pasa desapercibido durante largos periodos de tiempo

Un único registro DMARC por dominio

Al configurar su registro DMARC, es importante publicar una sola entrada de registro por dominio. Varios registros DMARC para un solo dominio pueden causar conflictos y fallos de autenticación injustificados. 

Por qué los registros DMARC múltiples son un problema

1. Errores en la autenticación del correo electrónico: es posible que los destinatarios no sepan qué registro DMARC deben seguir.
2. Errores de configuración e incoherencias: las políticas contradictorias (por ejemplo, un registro que utiliza p=none y otro que utiliza p=reject) dan lugar a una aplicación impredecible.
3. Informes inexactos: los informes DMARC pueden estar incompletos o ser poco fiables.

Buenas prácticas para una correcta implantación de DMARC

Para garantizar la correcta configuración del registro DMARC, estas son las mejores prácticas para su implementación: 

• Publique un único registro para DMARC por dominio.
• Evite configurar el DMARC sp a menos que desee que sus subdominios tengan una política diferente.
• Utilice una herramienta de comprobación DMARC para validar su registro después de publicarlo.
• Supervise regularmente sus informes DMARC para asegurarse de que las actividades sospechosas no pasan desapercibidas. 

Pasos siguientes tras publicar un registro DMARC

Después de publicar su registro DMARC, su siguiente paso debería ser centrarse en proteger su dominio de estafadores y suplantadores. Esa es tu agenda principal cuando estás implementando protocolos de seguridad y servicios de autenticación de correo electrónico. 

El mero hecho de publicar un registro DMARC con la política «p=none» no ofrece ninguna protección contra la suplantación de dominio y el fraude por correo electrónico. Para ello, es necesario pasar a la la aplicación de DMARC.

Para cambiar a la aplicación de DMARC, lo mejor es un enfoque gradual para obtener los mejores resultados sin ningún impacto negativo en la capacidad de entrega. Aquí tienes un proceso paso a paso que puedes seguir:

• Comience con una política p=none, que es su modo de monitorización. 
• Habilita los informes DMARC para tu dominio para analizar el tráfico y la capacidad de entrega de su correo electrónico y la capacidad de entrega. 
• Cambie a cuarentena, manteniendo el pct (porcentaje) en 10, y auméntelo gradualmente hasta el 100% en el transcurso de un par de semanas.
• Una vez que esté seguro de su configuración, cambie a p=reject, manteniendo pct en el ajuste de porcentaje más bajo y aumentando gradualmente hasta la ejecución total para el 100% de su volumen de correo. 

Cómo simplificar la gestión de los registros DMARC

Para las organizaciones que gestionan varios dominios, o simplemente para aquellas que no desean lidiar con la molestia de configurar y mantener manualmente los registros DMARC, existen soluciones especializadas que permiten automatizar la gestión de dichos registros de forma integral. Gracias a la tecnología de inteligencia sobre amenazas basada en IA y a la generación de informes detallados, PowerDMARC ha ayudado a más de 2000 clientes de todo el mundo a simplificar su proceso de implementación de DMARC. 

Las soluciones profesionales de gestión de DMARC ofrecen:

• Gestión multidominio y multicliente desde un único panel de control.
• Una incorporación de primera clase y asistencia especializada
• Certificado para el cumplimiento de SOC2, ISO27001 y GDPR.

Para empezar, prueba gratis Prueba gratuita de 15 días de protección DMARC de la plataforma hoy mismo. 

Preguntas frecuentes sobre los registros DMARC

1. ¿Cómo puedo crear un registro DMARC para mi dominio?

Para crear un registro DMARC: 1) Genera tu registro DMARC utilizando una herramienta como el generador de PowerDMARC, 2) Accede a tu consola de gestión de DNS, 3) Crea un nuevo registro TXT con el nombre «_dmarc» y pega tu registro DMARC como valor, 4) Guarda los cambios y espera a que se propague el DNS (hasta 48 horas).

2. ¿Qué ocurre si no tengo un registro DMARC?

Sin un registro DMARC, su dominio es vulnerable a ataques de suplantación de identidad y phishing. Los proveedores de correo electrónico como Gmail y Yahoo pueden rechazar los correos electrónicos de remitentes masivos sin DMARC. La reputación de su dominio puede verse dañada por el uso no autorizado y no tendrá visibilidad de los fallos de autenticación del correo electrónico.

3. ¿Cómo puedo superar la verificación DMARC?

Para superar la verificación DMARC: 1) Asegúrate de que SPF y DKIM estén correctamente configurados; 2) Comprueba que el dominio del encabezado «De:» coincida con los dominios de SPF y DKIM; 3) Utiliza una política DMARC que permita los correos electrónicos legítimos (empieza con «p=none»); 4) Supervisa los informes DMARC para identificar y solucionar los problemas de autenticación.

4. ¿Cómo es un registro DMARC típico?

Un registro DMARC básico se publica como un registro TXT de DNS en _dmarc.tudominio.com y, por lo general, se inicia en modo de supervisión. Un ejemplo típico tiene este aspecto:

v=DMARC1; p=none; rua=mailto:[email protected]

Qué hace esto:

• v=DMARC1 identifica el registro como una política DMARC.
• p=none permite la supervisión sin bloquear los correos electrónicos.
• rua especifica dónde se envían los informes DMARC agregados.

Esta configuración te permite observar los resultados de la autenticación y detectar intentos de suplantación de identidad sin afectar al envío de correos electrónicos. Una vez que hayas revisado los informes y hayas confirmado que todos los remitentes legítimos están en regla, puedes pasar gradualmente a p=quarantine o p=reject para aplicar las medidas.

• Acerca de
• Últimas publicaciones

Maitham Al Lawati

Experto en ciberseguridad, CEO de PowerDMARC

Maitham es un emprendedor tecnológico, experto en ciberseguridad, CEO y fundador de PowerDMARC con más de 15 años de experiencia en el sector. Maitham posee un MBA Global por la Universidad de Manchester y varias certificaciones profesionales, entre ellas CISSP, CISM, CRISC e ISC2 CCSP.

Últimos comentarios de Maitham Al Lawati (ver todos)

• Estadísticas sobre phishing y DMARC: Tendencias en seguridad del correo electrónico para 2026 - 6 de enero de 2026
• Cómo solucionar el error «No se ha encontrado ningún registro SPF» en 2026 - 3 de enero de 2026
• SPF Permerror: Cómo solucionar un exceso de búsquedas DNS - 24 de diciembre de 2025