Cómo llevar DMARC a reject sin bloquear tu propio correo
Pasa de p=none a p=reject sin riesgos: las etapas, las etiquetas pct y t=y, los caminos para poco volumen y dominios sin uso, y cómo revertir.
Un registro DMARC con p=none solo observa: pide a los receptores que te envíen informes y aun así entrega todo. Solo p=quarantine (carpeta de spam) y p=reject (rechazar el mensaje) impiden que otras personas envíen correo como tu dominio. También detienen tu propio correo cuando uno de tus remitentes está mal configurado, por eso se llega por etapas.
Paso 1: reúne informes y encuentra a todos los remitentes
Publica p=none con una dirección rua y espera los informes agregados diarios. Agrúpalos por servicio de envío y decide, para cada uno, si es tuyo. La herramienta de facturación, el servicio de boletines, la mesa de ayuda y el formulario de contacto del sitio envían como tu dominio, y alguien tiene que acordarse de ellos. Los informes DMARC alojados de ProbeKit hacen la agrupación, reconocen unas cuarenta plataformas comunes y muestran “todavía no hay datos suficientes” hasta que haya correo suficiente para juzgar.
Paso 2: corrige lo que falla
Para cada remitente real, haz que SPF o DKIM superen la verificación alineados con tu dominio del campo From. DKIM es la opción más segura para los servicios que envían en tu nombre, porque sobrevive al reenvío. El correo que supera SPF solo para el dominio del proveedor no está alineado y sigue fallando en DMARC. Los remitentes que no son tuyos van a una lista de “no es mío”, y reject es justo lo que quieres para ellos.
No avances hasta que casi todo tu correo real supere DMARC. Los valores predeterminados de ProbeKit son 95 % antes de quarantine y 99 % antes de reject, con al menos 100 mensajes en los últimos 14 días y ningún remitente sin identificar con 10 o más mensajes. El correo reenviado y las listas de correo quedan fuera de esa proporción, porque rompen la alineación sin culpa tuya.
Paso 3: endurece la política por etapas
1. Publica p=quarantine; pct=25; t=y y revisa los informes durante una semana.
2. Publica p=quarantine; pct=100; t=y y revisa los informes otra semana.
3. Publica p=quarantine sin las dos etiquetas adicionales y repite las mismas tres etapas con p=reject.
¿Por qué dos etiquetas adicionales? El estándar DMARC se revisó en 2026 (RFC 9989). Eliminó pct y añadió t=y, una marca de prueba que hace que el receptor trate reject como quarantine y quarantine como none mientras los informes siguen llegando. Los receptores adoptan las reglas nuevas a su ritmo, así que cada etapa publica ambas etiquetas: ningún receptor, antiguo o nuevo, es nunca más estricto de lo que la etapa pretende. La última etapa quita las dos.
ProbeKit nunca cambia tu DNS. Cada etapa es un registro que tú publicas en tu proveedor de DNS, con un recordatorio para revisar los informes después y una alerta si el correo que antes superaba la verificación empieza a fallar. Mantén el TTL corto (300 segundos es habitual) mientras avanzas, para que una reversión llegue pronto a los receptores.
Dominios que envían muy poco correo
Los informes solo llegan de los receptores que los envían, así que un dominio con unos pocos mensajes al mes nunca muestra datos suficientes para demostrar que aplicar la política es seguro. El camino de poco volumen pide más tiempo y más evidencia, no menos: 60 días de observación, un informe en los últimos 30 días, todos los remitentes identificados, tu confirmación de que la lista cubre cada sistema que envía como el dominio, 14 días entre etapas, y reject solo después de 30 días en quarantine completo sin fallos. Reduce el riesgo; no puede demostrar que sea seguro.
Dominios que no envían ningún correo
Un dominio sin uso debe decirlo. Publica un registro SPF que no autorice a nadie (v=spf1 -all) y p=reject para el dominio y sus subdominios. Si el dominio tampoco recibe correo, un MX nulo (0 ., RFC 7505) indica a los remitentes que dejen de intentarlo. ProbeKit ofrece este camino tras 30 días de informes sin correo legítimo y te pide confirmar que nada envía como ese dominio.
Cómo revertir
Cada etapa conserva el registro que estaba publicado antes. Si un remitente falla, publica ese registro anterior y pulsa Revertir para que el asistente lo siga. Un cambio llega a todos los receptores solo cuando vence el TTL del registro anterior, por eso un TTL corto importa.
Llegar a reject no es el final. Una herramienta nueva que envíe como tu dominio rebotará desde el primer día, así que sigue recibiendo los informes y deja que ProbeKit te avise cuando el correo que antes superaba la verificación empiece a fallar.
Preguntas frecuentes
- ¿Cuánto tarda llegar a p=reject?
- Para un dominio típico, calcula de dos a tres meses: unas semanas de informes y correcciones, luego tres etapas de una semana para quarantine y tres para reject. Un dominio que envía muy poco correo tarda más, porque el camino de poco volumen lo observa 60 días primero.
- ¿Basta con p=quarantine?
- Detiene la mayor parte de la suplantación de identidad y es un lugar sensato para quedarse cuando muchos servicios de terceros envían por ti. Reject es la señal más fuerte, y programas como BIMI piden quarantine o reject.
- ¿Y el correo reenviado y las listas de correo?
- El reenvío y las listas suelen romper SPF y a veces DKIM, y cada receptor los trata a su manera. ProbeKit deja el tráfico de reenvío y de listas de correo fuera de la proporción de correo alineado y lo muestra en la página, para que no te frene.
- ¿Los subdominios necesitan su propio registro?
- Los subdominios heredan la política del dominio principal, salvo que publiquen su propio registro o se defina la etiqueta sp. La etiqueta np cubre los subdominios que no existen, y ProbeKit sugiere np=reject con la última etapa de reject cuando los informes no muestran correo de subdominios.
Pruébalo con tu propia configuración:
Verificar tu registro DMARC