Pasar DMARC de p=none a quarantine o reject sin riesgos

Qué significa

Con p=none, tu registro DMARC solo recoge informes. Los receptores siguen entregando los emails que fallan las comprobaciones, incluidos los falsos que envían los estafadores en tu nombre.

• p=quarantine: los emails que fallan DMARC van a la carpeta de spam.
• p=reject: los emails que fallan DMARC se rechazan. Es la protección completa.

Por qué importa

El phishing y las facturas falsas con tu dominio perjudican a tus clientes y a tu reputación. Una política DMARC fuerte los bloquea. También es necesaria para mostrar tu logo en Gmail y otros buzones (BIMI). El riesgo es ir demasiado rápido: si una de tus herramientas de envío reales no está bien configurada, sus emails también se bloquean.

Cómo saber dónde estás

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio, copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. La línea DMARC muestra tu política actual.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros DNS sin enviar nada.

Plan paso a paso

Paso 1: monitoriza durante 2 a 4 semanas

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Lee los informes y haz una lista de todas las fuentes que envían con tu dominio: tu proveedor de correo, tu herramienta de newsletters, tu tienda, tu programa de facturación, tu CRM, tu herramienta de soporte. La monitorización DMARC de Delivmail en el panel de pago las agrupa por ti.

Paso 2: arregla todas las fuentes legítimas

Cada fuente real debe superar SPF o DKIM para tu dominio. Configura DKIM en cada herramienta y añádela a SPF. Envía una prueba de Delivmail desde cada herramienta para confirmarlo. Las fuentes que no reconoces suelen ser suplantaciones: son justo lo que DMARC va a bloquear.

Paso 3: quarantine, poco a poco

Usa la etiqueta pct para aplicar primero la política a una parte de los emails que fallan:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourdomain.com

Espera una o dos semanas, revisa los informes y lo que te dicen tus clientes, y sube a 50 y después a 100:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Paso 4: reject

Tras unas semanas limpias con quarantine completo:

v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

Puedes volver a usar pct para una transición más suave. Conserva la dirección rua: los informes siempre son útiles.

Subdominios

Por defecto, los subdominios siguen tu política principal. Si tu registro dice sp=none, los emails falsos de cualquier subdominio se siguen entregando. Quítalo, o pon sp=reject cuando estés seguro de que ningún subdominio envía emails sin firmar.

Señales de alerta

• Clientes que dicen que tus facturas o newsletters acabaron en spam.
• Una herramienta conocida que aparece como fallida en los informes.
• Una herramienta nueva añadida por un compañero sin configurar el DNS.

Si algo se rompe, siempre puedes volver un paso atrás editando el registro. Arregla la fuente y vuelve a avanzar.

Dominios que nunca envían emails

Para los dominios que tienes pero no usas para el email, pasa directamente a reject, junto con un SPF vacío:

_dmarc.example.com  TXT  "v=DMARC1; p=reject;"
example.com         TXT  "v=spf1 -all"

Comprueba que está solucionado

Pasa el Escáner de dominio después de cada cambio para confirmar que la nueva política está publicada. Envía emails de prueba desde cada una de tus herramientas: DMARC debería superarse en todas.