Introduce cualquier dominio para recuperar y analizar su registro DMARC. Consulta la política de aplicación, la alineación, las direcciones de informes y el estado de la configuración.
DMARC (Domain-based Message Authentication, Reporting and Conformance) es una política de autenticación de correo publicada en DNS. Indica a los servidores de correo receptores qué hacer cuando fallan las comprobaciones SPF y DKIM, y les pide que te envíen informes sobre la autenticación de tu dominio. DMARC es la pieza final de la autenticación de correo: unifica SPF y DKIM en una política coherente.
Un registro DMARC se publica como registro TXT en el subdominio _dmarc.yourdomain.com. La etiqueta más importante es p=, que define la política: none significa no actuar (modo de supervisión), quarantine envía los mensajes fallidos a spam y reject los bloquea por completo. La mayoría de los dominios empiezan con none y pasan a reject cuando confirman que todos los remitentes legítimos están autenticados.
La función de informes de DMARC es especialmente valiosa. Si incluyes una dirección rua (URI de informes agregados), los ISP principales, entre ellos Gmail, Outlook y Yahoo, te enviarán informes XML diarios con cada IP que envió correo haciéndose pasar por tu dominio. Estos informes te permiten identificar remitentes no autorizados, detectar servicios mal configurados y supervisar la salud de la autenticación a lo largo del tiempo.
La política de aplicación principal: none, quarantine o reject.
Política para subdominios. Hereda p= si no se define.
Porcentaje de mensajes a los que se aplica la política. El valor predeterminado es 100.
Dirección de correo o URI para recibir informes agregados diarios.
Dirección de correo para recibir informes de fallo con muestras del mensaje.
r=relaxed (predeterminado), s=strict. Strict exige coincidencia exacta del dominio.
r=relaxed (predeterminado), s=strict. Strict exige coincidencia exacta de envelope-from.
Cuándo enviar informes forenses: 0=fallan ambos (predeterminado), 1=falla cualquiera, d=falla DKIM, s=falla SPF.
Evidencia de la política publicada
El comprobador recupera la política TXT pública, analiza sus etiquetas y muestra qué se pide a los receptores hacer con el correo que no supera la autenticación alineada.
En example.com, los receptores consultan _dmarc.example.com. Una cadena v=DMARC1 en el dominio raíz o en otro host arbitrario no se convierte en la política DMARC del dominio.
Solo debe devolverse un registro DMARC aplicable. Las políticas duplicadas o mal formadas generan incertidumbre, no una protección por capas.
DMARC se supera cuando un identificador autenticado SPF o DKIM se alinea con el dominio From visible. El comprobador puede leer p=, adkim y aspf, pero no puede ver los Authentication-Results de un mensaje que nunca se ha proporcionado.
Usa el registro publicado como instrucción del dominio y luego prueba correo real para comprobar si cada origen puede cumplirla.
Interpretación de la política
Cada resultado describe la configuración. La aplicación y los informes dependen de los receptores y de la autenticación de mensajes reales.
SPF y DKIM pueden existir igualmente, pero los receptores no tienen instrucción DMARC de este nombre de titular ni un destino de informes agregados solicitado para esta política.
Puede generar informes agregados valiosos mientras se identifican los remitentes legítimos, pero no solicita cuarentena ni rechazo de los fallos de autenticación alineada.
Antes de considerar saludable una política más estricta, verifica que los flujos importantes transaccionales, corporativos, de marketing, de soporte y de proveedores superen SPF o DKIM alineados.
La etiqueta sp puede definir una política para subdominios. Sin ella, las reglas de descubrimiento de política de DMARC determinan cómo se aplica la política del dominio organizativo, así que comprueba el dominio From exacto que usa el mensaje.
Secuencia de auditoría
Conecta la política DNS con los informes y los encabezados del mensaje antes de cambiar la aplicación.
Introduce el dominio que aparece después de @ en el encabezado From. En los subdominios, comprueba el nombre exacto y determina si aplica una política directa o heredada.
Confirma que cada etiqueta refleja el despliegue previsto y que las direcciones rua o ruf están bajo tu control, autorizadas cuando corresponda y pueden procesar los informes de forma segura.
Usa el Comprobador SPF y el Comprobador DKIM, y compara sus identificadores con el dominio From visible en los encabezados reales.
Si la configuración necesita revisión, usa el Generador de registros DMARC, publica un único registro TXT actualizado, espera el TTL y vuelve a comprobar.
Lo que la consulta no puede demostrar
La política DNS es evidencia necesaria, pero no equivale al cumplimiento operativo.
No puede identificar IP de origen activas, el volumen de fallos, proveedores desconocidos ni patrones de suplantación. Esos datos están en los informes rua que envían los receptores participantes.
DMARC publica la política del titular del dominio. Cada receptor sigue aplicando sus propias decisiones de entrega y filtrado, y puede no enviar todos los informes solicitados.
Una investigación a nivel de mensaje necesita el dominio From, el return path, la firma DKIM, Authentication-Results y los encabezados Received pertinentes.
DMARC autentica dominios de remitente. Usa el Verificador de correo para evaluar si un buzón de destino es entregable.
Referencia del protocolo
Consulta la especificación cuando una etiqueta del panel oculte detalles de alineación, descubrimiento o informes.
El RFC 7489 de la IETF define el descubrimiento de política, los identificadores alineados, los dominios organizativos, la disposición del receptor y los informes de feedback.
Comprueba la autorización SPF, la publicación de claves DKIM, la política DMARC, los encabezados reales del mensaje y los informes agregados. Ningún resultado DNS aislado sustituye al resto de capas.
Elige la siguiente herramienta según el tipo de evidencia: destinatario, descubrimiento, DNS e infraestructura, o flujo del remitente.
Herramientas gratuitas
Crea un registro TXT DMARC con política, alineación y opciones de informes. Generador gratuito de autenticación de correo.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas gratuitas
Comprueba y valida el registro SPF de cualquier dominio. Consulta el registro, los mecanismos y si está bien configurado. Gratis, sin registro.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas gratuitas
Comprueba el registro DKIM de cualquier dominio y selector. Consulta la clave pública completa y si la firma DKIM está bien configurada. Gratis, sin registro.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas gratuitas
Consulta registros A, AAAA, MX, TXT, NS o CNAME de cualquier dominio. Búsqueda DNS en vivo con resultados instantáneos. Gratis, sin registro.
Evidencia de dominio o infraestructura — no prueba del buzón.
Herramientas de email
Pega cabeceras de email en bruto y obtén un análisis estructurado: resultados SPF, DKIM, DMARC, ruta de entrega, puntuaciones de spam y metadatos clave. Gratis, sin registro.
Diagnóstico del remitente o del mensaje — no descubrimiento de direcciones.
Herramientas de email
Prueba de entregabilidad sobre una muestra real. Revisa SPF, DKIM, DMARC, DNS, listas negras, filtro de spam, cabeceras y contenido.
Diagnóstico del remitente o del mensaje — no descubrimiento de direcciones.
Sin un registro DMARC no hay política DMARC: los servidores receptores no aplican ninguna medida basada en DMARC. Los correos falsificados que dicen proceder de tu dominio no encuentran más barrera que SPF y DKIM. Google y Yahoo ya exigen un registro DMARC (aunque sea p=none) a los remitentes masivos. Todo dominio que envíe correo debería publicar al menos un registro DMARC de supervisión.
p=none significa que DMARC está en modo de supervisión: se recogen informes, pero no se actúa sobre los mensajes que fallan. p=quarantine indica a los servidores receptores que entreguen esos mensajes a la carpeta de spam. p=reject significa que los mensajes que fallan deben bloquearse por completo antes de llegar a la bandeja de entrada. Empieza con none, revisa los informes durante 2 a 4 semanas y luego pasa a quarantine y reject.
La alineación significa que el dominio que supera SPF o DKIM debe coincidir con el dominio del encabezado From visible. La alineación relaxed permite coincidencias de subdominio: mail.example.com se alinea con example.com. La alineación strict exige una coincidencia exacta. Usa relaxed en la mayoría de los casos para no romper el reenvío ni el correo enviado por ESP.
Cuando incluyes una dirección de correo rua en tu registro DMARC, los ISP principales te envían informes XML diarios. Cada informe indica qué IP enviaron correo desde tu dominio, cuántos mensajes envió cada una y si SPF y DKIM superaron o fallaron. Úsalos para encontrar remitentes legítimos que necesitan autenticación configurada y para detectar intentos de suplantación.
La política DMARC de tu dominio principal se aplica a los subdominios salvo que definas una etiqueta sp=. Si quieres proteger los subdominios, añade sp=reject o sp=quarantine a tu registro DMARC. Sin sp=, los subdominios heredan tu política p= con alineación relaxed.
Sí. Definir pct=25 significa que la política DMARC se aplica solo al 25% de los mensajes que fallan. Es útil para un despliegue gradual: empieza en 10% o 25% al activar quarantine o reject por primera vez, para limitar el impacto si el correo legítimo está mal configurado. Súbelo a 100 cuando confirmes que ningún correo legítimo está fallando.
DMARC protege tu dominio de la suplantación. Una lista de correo verificada protege tu entregabilidad. Usa BillionVerify para eliminar direcciones inválidas y de riesgo.
600/mes + 20/día por inicio de sesión · 99,9% de precisión SMTP · Acceso instantáneo a la API · Sin tarjeta de crédito
