Qué es DMARC y cómo configurarlo paso a paso

DMARC es el registro que decide qué pasa cuando alguien envía un correo haciéndose pasar por tu empresa. Si no lo tienes, o lo tienes en “modo observar”, ese correo falso llega a la bandeja de tus clientes, proveedores y empleados con tu dominio exacto en el remitente. Sin una sola letra cambiada.

En nuestro estudio de 10.167 dominios españoles, el 61% de las empresas estaba en alto riesgo: sin DMARC o con una política que no bloquea nada. Esta guía es para que no estés en ese 61%, y para que entiendas qué arregla DMARC y qué no.

Qué es DMARC y por qué importa

El correo electrónico se diseñó sin verificar quién escribe. Cualquiera puede poner en el remitente lo que quiera. Para tapar ese agujero existen tres piezas que trabajan juntas:

• SPF dice qué servidores pueden enviar correo en nombre de tu dominio.
• DKIM firma cada correo para demostrar que no se ha tocado por el camino y que sale de quien dice.
• DMARC une las dos y le dice al servidor que recibe qué hacer si un correo falla: nada, spam o rechazo. Además te manda informes de quién está enviando con tu dominio.

SPF y DKIM sin DMARC son como tener alarma pero no decirle a nadie que llame a la policía. El servidor ve que algo no cuadra y, aun así, lo entrega.

Qué pasa si no tienes DMARC

Un martes, tu cliente recibe un correo de administracion@tuempresa.com. Mismo logo, misma firma, mismo tono. “Hemos cambiado de banco, os pasamos el nuevo IBAN para la factura de este mes.” El correo no viene de tu empresa. Pero el cliente no tiene forma de saberlo, porque el remitente es idéntico.

Eso es el fraude de proveedor y el fraude del cambio de IBAN. El dinero se pierde en casa de tu cliente, pero la marca que queda tocada es la tuya.

Hay un segundo efecto, menos dramático y más diario: Gmail y Outlook desconfían de los dominios sin autenticar. Desde noviembre de 2025, Gmail rechaza de forma permanente el correo masivo que no cumple, y Outlook.com aplica reglas parecidas desde mayo de 2025. Si tus facturas o presupuestos acaban en spam, empieza mirando aquí.

Cómo saber si tu dominio tiene DMARC

La forma rápida: mete tu dominio en nuestro análisis de dominio. En unos 30 segundos ves si tienes SPF, DKIM y DMARC, y si la política protege de verdad.

La forma manual: busca un registro TXT en _dmarc.tuempresa.com. Si no hay nada, no tienes DMARC. Si ves p=none, lo tienes en modo observar: recoge datos pero no frena ningún correo falso.

Cómo configurar DMARC paso a paso

No hace falta ser técnico para entender el proceso. Para hacerlo sí conviene que lo lleve quien gestiona tu DNS y tu correo.

1. Haz inventario de quién envía en tu nombre

Microsoft 365 o Google Workspace, sí. Pero también el CRM, la herramienta de facturación, el boletín, la web que manda avisos de pedido, el software de nóminas. Cada uno tiene que estar autorizado. Este paso es el que más se salta y el que luego rompe cosas.

2. Revisa SPF

Un solo registro SPF por dominio, con todos los servicios que envían. Ojo al límite de 10 consultas DNS: si te pasas, SPF falla aunque esté “bien”. Termina en ~all o -all, nunca en +all.

3. Activa DKIM en cada servicio

En Microsoft 365 y Google Workspace se activa desde la consola de administración y te dan los registros para el DNS. Haz lo mismo en cada herramienta que envía en tu nombre. Si una no permite DKIM con tu dominio, apúntalo: es candidata a dar problemas.

4. Publica DMARC en modo observar

Un registro TXT en _dmarc.tuempresa.com parecido a este:

v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.com

El rua es la dirección donde llegan los informes. Son XML poco amigables. Hay herramientas gratuitas y de pago que los convierten en algo legible.

5. Lee los informes dos o cuatro semanas

Vas a ver servicios legítimos que no tenías en el inventario, y probablemente intentos de envío desde IPs que no son tuyas. Lo primero se corrige. Lo segundo es justo lo que quieres bloquear.

6. Sube a quarantine y luego a reject

Cuando todo lo legítimo pasa, cambia a p=quarantine (lo sospechoso va a spam). Unas semanas después, a p=reject (lo sospechoso no llega). Puedes subir por porcentajes con pct= si te da miedo el salto.

Ese es el punto final: p=reject. Hasta llegar ahí, tu dominio sigue siendo suplantable.

Errores típicos que vemos en pymes

1. Quedarse en p=none para siempre. Alguien lo configuró hace dos años “para empezar” y nadie volvió a mirarlo. Es el caso del 15,77% de nuestro estudio.
2. Dos registros SPF. Uno de la web, otro del correo. Invalida los dos.
3. Olvidar los subdominios. Si no indicas política para subdominios (sp=), alguien puede enviar desde pagos.tuempresa.com.
4. Informes que nadie lee. Llegan a un buzón que no abre nadie. Sin informes, subir a reject es ir a ciegas.

Lo que DMARC no arregla

DMARC cierra una puerta concreta: que usen tu dominio exacto. Es importante y es barato. Pero el atacante tiene otras:

• Registrar un dominio parecido: tuempresa-facturas.com, tu-empresa.es, tuernpresa.com.
• Escribir desde la cuenta real, pero hackeada, de un proveedor tuyo. Esa sí pasa SPF, DKIM y DMARC, porque es auténtica.
• Saltarse el correo: una llamada con la voz clonada de tu director, un SMS, un QR en un PDF.

En todos esos casos, lo último que queda entre el atacante y el dinero es una persona con prisa. Por eso arreglar la configuración es la mitad del trabajo.

La otra mitad: tu equipo

En Falcata 365 hacemos las dos cosas a la vez. Revisamos y ajustamos las políticas anti-spoofing, las reglas de reenvío y el MFA. Vigilamos los dominios que imitan al tuyo y las credenciales de tu dominio que aparecen en filtraciones, y te avisamos si sale algo.

Y entrenamos a tu equipo con ataques realistas, por correo, llamada, SMS o QR, para que el día que llegue el bueno lo paren. Lo medimos con el Human Risk Score cada trimestre. La garantía: la mitad de riesgo humano en 6 meses o te devolvemos el dinero.

Si quieres empezar por lo básico, mira primero tu dominio. Si quieres que alguien se encargue de todo, hablamos.

Ver Falcata 365 Analizar mi dominio gratis