Comprobador DMARC: revisa y entiende tu registro DMARC
Comprueba si tu dominio tiene un registro DMARC válido, qué política se aplica y adónde van los informes, con cada etiqueta explicada.
Comprobar registro DMARC
Introduce el dominio que aparece como remitente de tus correos, por ejemplo tu-dominio.es.
Las consultas se hacen a través del resolvedor DNS Quad9 (Suiza). Guardamos el dominio consultado y una dirección IP anonimizada durante 30 días como máximo.
Así funciona DMARC
¿Qué es DMARC?
DMARC significa Domain-based Message Authentication, Reporting and Conformance. El registro se publica como TXT en _dmarc.tu-dominio.es y empieza por v=DMARC1. Une SPF y DKIM con la dirección de remitente que ve el destinatario y decide qué pasa con los correos que no superan esa comprobación.
Las tres políticas
Con p=none no pasa nada: solo recibes informes. p=quarantine envía los correos sospechosos a la carpeta de spam y p=reject ni siquiera los acepta. Desde 2024, Gmail y Yahoo exigen un registro DMARC a los remitentes masivos. Quien quiera proteger de verdad su dominio acaba en quarantine o reject.
Informes y el camino hacia reject
Con rua=mailto:… los receptores te envían informes agregados diarios: qué servidores han enviado en tu nombre y si SPF y DKIM han coincidido. Empieza con p=none e informes, añade los remitentes que falten a SPF y DKIM y endurece después paso a paso, por ejemplo pasando por quarantine con pct=25 hasta llegar a reject.
Errores DMARC habituales
Quedarse siempre en p=none
Muchos configuran DMARC una vez con none y se olvidan. Así el registro no protege frente a correos falsificados. Analiza los informes y endurece la política.
Sin dirección para informes
Sin rua nunca sabrás quién envía en tu nombre y no podrás pasar con seguridad a reject. Añade una dirección o un servicio DMARC.
Informes a otro dominio sin autorización
Si los informes van a otro dominio, este debe aceptarlo con un registro tu-dominio.es._report._dmarc.otro-dominio.com. Si falta, los receptores descartan los informes.
Registro en el lugar equivocado
El registro DMARC va en _dmarc.tu-dominio.es, no en el propio dominio. Y solo puede haber uno.
Preguntas frecuentes
Introduce tu dominio arriba. El comprobador DMARC lee el registro en _dmarc, explica cada etiqueta y revisa las direcciones de informes y el registro SPF.
Empieza con p=none y una dirección para informes, para ver quién envía en tu nombre. Cuando todos los remitentes legítimos superen SPF o DKIM, pasa a quarantine y después a reject.
Sí. Si un subdominio no tiene registro propio, se aplica el del dominio principal. Con sp= puedes fijar una política distinta para los subdominios.
rua recibe informes agregados diarios y ruf informes sobre correos concretos que han fallado. Muchos grandes proveedores ya no envían informes ruf por motivos de privacidad. Lo importante es sobre todo rua.
DMARC exige que SPF o DKIM se superen y coincidan con el dominio del remitente. Formalmente basta con uno, pero DKIM es más robusto porque sobrevive a los reenvíos. Configura ambos. Revisa tu clave DKIM con el comprobador DKIM.
Con pct aplicas la política solo a una parte de los correos, por ejemplo pct=25 para una cuarta parte. Es práctico para introducir quarantine o reject con cuidado. Si falta, se aplica 100.
