Sin DMARC, cualquiera puede enviar un correo que diga venir de facturacion@suempresa.com.co y pedirle a sus clientes que paguen a otra cuenta. DMARC es un registro público en el DNS de su dominio que, junto con SPF y DKIM, le dice a los servidores de correo del mundo qué hacer con esos correos falsos.
Respuesta rápida
Son cuatro pasos: 1) listar todo lo que envía correo con su dominio, 2) publicar un solo registro SPF, 3) activar la firma DKIM y 4) publicar DMARC en modo monitoreo (p=none) y avanzar por etapas hasta rechazo (p=reject). Llegar a rechazo sin afectar correo legítimo suele tomar de uno a tres meses.
Paso 1. Haga el inventario de lo que envía correo
Es el paso que más se salta y el que más problemas causa. Antes de tocar el DNS, liste todos los sistemas que envían correo usando su dominio:
- •Microsoft 365 o Google Workspace
- •Proveedor de facturación electrónica que envía las facturas a nombre de su empresa
- •CRM y herramientas de ventas (Zoho, HubSpot, Salesforce)
- •Plataformas de email marketing y boletines
- •Sistemas internos: ERP, nómina, mesa de ayuda, impresoras y escáneres
Paso 2. Publique un solo registro SPF
SPF dice qué servidores pueden enviar correo en nombre de su dominio. Es un registro TXT en la raíz del dominio. Ejemplo para una empresa con Microsoft 365 y un servicio adicional:
v=spf1 include:spf.protection.outlook.com include:servicio-adicional.com -all
Reglas clave: un solo registro v=spf1 por dominio, máximo 10 consultas DNS (cada include cuenta) y terminar en -all o ~all. El include exacto de cada servicio lo da su proveedor.
Paso 3. Active la firma DKIM
DKIM firma cada correo para probar que salió de su empresa y que nadie lo alteró. Se activa en cada servicio que envía correo:
Microsoft 365
En el portal de Microsoft Defender, en la configuración de DKIM de su dominio, Microsoft le muestra dos registros CNAME. Publíquelos en su DNS tal como aparecen y active la firma.
Google Workspace
En la consola de administración, en la autenticación de correo de Gmail, genere la clave, publíquela como registro TXT y luego active la firma.
Haga lo mismo en la facturación electrónica, el CRM y la plataforma de marketing: casi todos tienen una opción para firmar con su dominio.
Paso 4. Publique DMARC y avance por etapas
DMARC es un registro TXT en _dmarc.suempresa.com.co. Empiece en modo monitoreo:
v=DMARC1; p=none; rua=mailto:dmarc@suempresa.com.co; fo=1| Etapa | Política | Qué pasa | Duración típica |
|---|---|---|---|
| Monitoreo | p=none | No cambia la entrega de ningún correo. Solo recibe reportes de quién envía con su dominio. | 2 a 4 semanas |
| Cuarentena | p=quarantine | Los correos que fallan van a spam. Se puede aplicar a un porcentaje con pct=25 y subirlo. | 2 a 4 semanas |
| Rechazo | p=reject | Los correos falsos con su dominio se rechazan. Es el nivel de protección real. | Permanente |
Pase a la siguiente etapa solo cuando los reportes muestren que todo su correo legítimo pasa SPF o DKIM alineados con su dominio.
Por qué ya no es opcional
Desde 2024 Google y Yahoo, y desde mayo de 2025 Microsoft para Outlook.com, exigen SPF, DKIM y DMARC a quienes envían grandes volúmenes de correo. Sin ellos, sus correos legítimos pueden llegar a spam o ser rechazados. Y el fraude por correo corporativo, que se apoya en la suplantación del dominio, sigue siendo uno de los engaños más costosos para las empresas.
Los cinco errores más comunes
Dos registros SPF
Invalida SPF por completo. Debe haber uno solo, con todos los servicios dentro.
Más de 10 consultas en SPF
SPF falla aunque el servidor esté autorizado. Consolide o quite servicios que ya no usa.
Olvidar la facturación electrónica
Es el caso más común en Colombia: las facturas empiezan a llegar a spam o a ser rechazadas.
Quedarse en p=none para siempre
Con p=none tiene visibilidad, pero su dominio se puede seguir suplantando.
No leer los reportes
Los reportes llegan en XML. Sin una herramienta que los resuma, nadie los revisa.
Fuentes
Preguntas frecuentes
¿Cuánto tiempo toma implementar DMARC?
Publicar los registros toma minutos. Llegar a la política de rechazo (p=reject) sin afectar correo legítimo suele tomar entre uno y tres meses, porque primero hay que monitorear los reportes e identificar todos los sistemas que envían correo con su dominio.
¿Puedo poner p=reject desde el primer día?
No se recomienda. Si algún sistema legítimo (facturación electrónica, CRM, plataforma de marketing, impresoras que envían correo) no está en SPF o no firma con DKIM, sus correos serán rechazados. Empiece con p=none, revise los reportes y avance por etapas.
¿Qué pasa si tengo dos registros SPF?
El SPF queda inválido. Un dominio debe tener un solo registro TXT que empiece por v=spf1. Si necesita autorizar varios servicios, se agregan en ese mismo registro con include.
¿Qué es el límite de 10 consultas de SPF?
La especificación de SPF permite un máximo de 10 consultas DNS al evaluar el registro. Cada include, a, mx o redirect cuenta. Si se supera, SPF falla aunque el servidor esté autorizado. Hay que consolidar servicios o quitar los que ya no se usan.
¿DMARC protege contra todo el phishing?
No. DMARC impide que suplanten exactamente su dominio. No evita dominios parecidos (por ejemplo, con una letra cambiada) ni correos maliciosos desde dominios ajenos. Para eso se necesita un filtro de correo como Hornetsecurity y capacitación de los usuarios.
¿Star Solutions TI puede revisar mi dominio?
Sí. Hacemos una revisión gratuita de SPF, DKIM y DMARC del dominio que usted nos pida revisar, con información pública del DNS y sin pedirle accesos. Si encuentra algo por corregir, le explicamos cómo hacerlo o lo implementamos por usted.
Revisamos su dominio gratis
Le decimos en lenguaje claro qué tiene bien, qué le falta y en qué orden corregirlo. Solo necesitamos el dominio de su empresa: no pedimos accesos ni instalamos nada.