DMARC en tu empresa: cómo evitar que suplanten tu correo, paso a paso

27 de octubre de 2026 · Rafael Medina González

DMARC es un registro DNS que dice a los servidores de correo qué hacer con los mensajes que usan tu dominio sin estar autorizados: entregarlos, mandarlos a spam o rechazarlos. Junto con SPF y DKIM, es lo que impide que alguien envíe facturas falsas "desde" tu dirección. Se configura en el DNS del dominio, no en el programa de correo.

Muchas pymes lo tienen puesto, pero en modo p=none, que solo observa. Esta guía explica cómo comprobarlo y cómo endurecerlo por fases sin bloquear tu propio correo.

¿Qué hacen SPF, DKIM y DMARC?

Son tres registros que se complementan:

SPF: lista los servidores que pueden enviar correo con tu dominio (por ejemplo, Microsoft 365 o Google Workspace).
DKIM: tu proveedor firma cada mensaje con una clave; el destinatario comprueba la firma con la clave pública publicada en tu DNS.
DMARC: exige que al menos uno de los dos pase y que coincida con el dominio que ve el destinatario en el remitente. Además, indica qué hacer si falla y adónde enviar informes.

flowchart TD
  A["Correo «de» facturas@tuempresa.es"] --> B{"¿Pasa SPF o DKIM alineado con tuempresa.es?"}
  B -->|Sí| C["Entregar"]
  B -->|No| D{"Política DMARC (p=)"}
  D -->|none| E["Entregar y avisar en el informe"]
  D -->|quarantine| F["Enviar a spam"]
  D -->|reject| G["Rechazar"]

La coincidencia (alineación) es la clave: un estafador puede tener un SPF perfecto para su propio dominio, pero no puede firmar con DKIM en nombre del tuyo.

¿Por qué ya no es opcional?

Los grandes proveedores lo exigen a quien envía en volumen. Desde el 1 de febrero de 2024, Google pide SPF, DKIM y DMARC a los remitentes que mandan más de 5.000 mensajes al día a Gmail. Microsoft anunció lo mismo para Outlook.com y, desde el 5 de mayo de 2025, envía a correo no deseado el de los dominios de gran volumen que no cumplen.

Una pyme rara vez llega a esa cifra, pero el motivo de fondo le afecta igual: sin DMARC en modo de aplicación, cualquiera puede usar tu dominio en el remitente y tus clientes no tienen forma de distinguirlo.

Paso 1: comprueba cómo está tu dominio

Cualquier herramienta de consulta DNS sirve. Desde Windows, en PowerShell:

Resolve-DnsName _dmarc.tuempresa.es -Type TXT
Resolve-DnsName tuempresa.es -Type TXT

Lo que debes encontrar:

Registro	Dónde	Ejemplo
SPF	TXT en el dominio	`v=spf1 include:spf.protection.outlook.com ~all`
DKIM	CNAME o TXT en `selector._domainkey`	lo da tu proveedor de correo
DMARC	TXT en `_dmarc`	`v=DMARC1; p=none; rua=mailto:…`

Si DMARC está en p=none y sin rua, no protege nada ni te informa de nada. Es el caso más habitual.

Paso 2: activa DKIM en tu proveedor

Publicar los registros DKIM en el DNS no basta: hay que activar la firma en el proveedor.

Microsoft 365: portal de Microsoft Defender → Correo electrónico y colaboración → Directivas y reglas → Directivas de amenazas → Configuración de autenticación de correo → DKIM. El dominio debe aparecer como habilitado y firmando.
Google Workspace: consola de administración → Aplicaciones → Google Workspace → Gmail → Autenticar correo electrónico.

Si el panel te muestra los valores CNAME o TXT que debes publicar, cópialos tal cual en el DNS y vuelve a intentar la activación pasados unos minutos.

Paso 3: haz inventario de quién envía en tu nombre

Es el paso que más problemas evita. Además del correo de los empleados, suelen enviar con tu dominio:

El programa de facturación o el ERP.
La herramienta de boletines o campañas.
El formulario de contacto de la web.
El CRM o la plataforma de citas.
Impresoras y escáneres que mandan correo.

Cada uno tiene que estar en el SPF o, mejor, firmar con DKIM usando tu dominio. Si no, cuando endurezcas DMARC sus mensajes acabarán en spam o rechazados.

Paso 4: endurece DMARC por fases

Crea antes un buzón para los informes (por ejemplo, dmarc@tuempresa.es). En Microsoft 365 sirve un buzón compartido, que no necesita licencia; así los informes no llenan la bandeja de nadie.

Fase 1, una o dos semanas: observar.

v=DMARC1; p=none; rua=mailto:dmarc@tuempresa.es; fo=1

No cambia la entrega, pero empiezas a recibir cada día informes agregados de Google, Microsoft y otros proveedores con todo el correo que usó tu dominio y si pasó o no.

Fase 2: cuarentena. Cuando los informes solo muestren envíos legítimos que pasan:

v=DMARC1; p=quarantine; rua=mailto:dmarc@tuempresa.es

Fase 3, dos o tres semanas después: rechazo.

v=DMARC1; p=reject; rua=mailto:dmarc@tuempresa.es

Si te da reparo dar el salto completo, la etiqueta pct aplica la política solo a un porcentaje del correo que falla (por ejemplo, pct=25). Si no la pones, vale 100.

¿Cómo se leen los informes?

Llegan como XML comprimido, uno por proveedor y día. Para cada IP que envió con tu dominio indican cuántos mensajes mandó y si pasaron SPF, DKIM y la alineación. Lo que buscas:

IPs de tu proveedor de correo con todo en verde: correcto.
Un servicio tuyo que falla (el ERP, la web): hay que autorizarlo antes de pasar a la fase 2.
IPs desconocidas que fallan: probablemente suplantación. Es justo lo que DMARC bloqueará.

Abrir los XML a mano es tedioso. Hay herramientas gratuitas que los agrupan, y cualquier asistente de IA puede resumirlos si le pasas el archivo.

¿Cómo compruebo que funciona?

Envía un correo a una cuenta de Gmail, ábrelo y usa Mostrar original. Deben aparecer SPF: PASS, DKIM: PASS y DMARC: PASS. En Outlook, la misma información está en los encabezados del mensaje, en la línea Authentication-Results.

Checklist rápido

SPF publicado con todos los servicios que envían en tu nombre.
DKIM activado y firmando en el proveedor de correo.
Buzón para informes creado.
DMARC con rua y en fase de observación.
Informes revisados y remitentes legítimos autorizados.
DMARC en quarantine y, después, en reject.
Prueba de envío con SPF, DKIM y DMARC en PASS.

Si prefieres que alguien revise la configuración de tu dominio y te diga en qué fase estás, puedes pedir una auditoría gratuita.

Sigue leyendo

Cómo activar MFA en Microsoft 365 sin licencias extra