Guía DMARC: de p=none a una política que sirve

DMARC no filtra spam por sí mismo. Dice a los receptores qué hacer cuando un mensaje usa tu dominio en el From y no está alineado ni por SPF ni por DKIM. Sin esa instrucción, cualquiera puede escribir en tu nombre y el receptor decide solo.

Alineación, no solo “tener el registro”

SPF alinea el dominio del sobre (return-path) con el From. DKIM alinea el dominio de la firma. DMARC exige que al menos uno coincida, en modo relajado o estricto. Un SPF que pasa con un return-path de otro dominio no te salva. Por eso tantos dominios “tienen DMARC” y siguen siendo suplantables: la política es p=none y nadie lee los informes.

El orden que funciona

Primero se publica p=none con una dirección que reciba los informes agregados. Durante unas semanas se mira qué fuentes envían: el relay bueno, el SaaS de facturas, la herramienta de marketing, y el resto, que no debería estar. Cada fuente legítima entra en SPF o firma DKIM con alineación. Solo entonces se sube a quarantine y, más tarde, a reject.

Saltar a reject el primer día rompe el correo de un proveedor que nadie había inventariado.

Qué mirar en el informe

Volumen por IP, resultado SPF, resultado DKIM y si hay alineación. Una IP con mucho volumen y doble fallo es o un abuso o un sistema vuestro olvidado. Las dos cosas se tratan distinto y las dos importan.

En la wiki hay fichas cortas de SPF, DKIM, política DMARC y BIMI, que solo tiene sentido cuando DMARC ya se cumple.