15 Jun 20268 minutes read
Kiara SaloojeeEntusiasta de DMARCCómo crear un registro TXT DMARC: sintaxis, etiquetas y publicación
Descripción general del registro TXT DMARC:
- Un registro TXT DMARC se publica en
_dmarc.yourdomain.comy requiere dos etiquetas:v=DMARC1yp= - Configura SPF y DKIM antes de publicar – si ninguno funciona, la aplicación interrumpirá el correo electrónico legítimo
- Empieza con p=none para recopilar datos de los informes – pasar a la aplicación sin revisar los informes puede provocar interrupciones en el correo electrónico
Un registro TXT DMARC indica a los servidores receptores qué hacer con los correos electrónicos que no superan la autenticación: si deben entregarlos, ponerlos en cuarentena o rechazarlos directamente. Sin él, cualquiera puede enviar correos electrónicos que parezcan proceder de su dominio.
DMARC se basa en SPF y DKIM. Ambos deben estar configurados y funcionando antes de crear un registro DMARC. Si tanto SPF como DKIM faltan o están rotos, pasar a la aplicación interrumpirá la entrega del correo electrónico legítimo.
Esta guía aborda la sintaxis del registro DMARC, las definiciones de las etiquetas, un ejemplo práctico y cómo publicar y verificar el registro. Si estás configurando DMARC por primera vez, esta es la referencia por la que debes empezar.
Una nota importante antes de empezar: publicar un registro TXT DMARC con p=none no impide la suplantación de identidad. Lo que hace es iniciar la supervisión. La protección llega más tarde, después de revisar los datos de los reportes y avanzar a p=reject.
Cómo es un registro TXT DMARC
Un registro TXT DMARC se publica en _dmarc.yourdomain.com – no en el dominio raíz.
Aquí tienes un ejemplo mínimo que funciona:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=reject; |
Todo registro TXT DMARC válido incluye dos elementos:
v=DMARC1: El identificador de versiónp=:La política aplicada al dominio (ninguna, cuarentena o rechazo)
Todo lo demás es opcional. Empieza por estos dos.
Sintaxis del registro DMARC: explicación de las etiquetas
Entender la sintaxis del registro DMARC marca la diferencia entre un registro que funciona y uno que interfiere con el correo electrónico legítimo. Cada etiqueta controla una función específica – esto es lo que hacen.
Etiquetas obligatorias
| Etiqueta | Propósito |
|---|---|
v=DMARC1 | Identificador de versión. Siempre es la primera etiqueta. No hay alternativas. |
p= | Política relativa al dominio. |
Etiquetas opcionales (de uso habitual)
| Etiqueta | Propósito |
|---|---|
ruf= | Reportes de destino de fallos (RUF). Se generan para cada mensaje que no supera DMARC. |
sp= | Política de subdominios. Anula p= para los subdominios. Resulta útil cuando las fuentes de envío de los subdominios no se han asignado por completo. |
adkim= | Modo de alineación de DKIM. r (flexible, por defecto) o s (estricto). El modo estricto requiere una coincidencia exacta del dominio. |
aspf= | Modo de alineación de SPF. r (flexible, por defecto) o s (estricto). Tiene las mismas implicaciones que adkim=. |
fo= | Opciones de informes forenses. Controla qué fallos generan informes RUF. fo=1 genera un informe si falla SPF o DKIM – se recomienda en lugar del valor predeterminado fo=0. |
Sobre los modos de alineación: no uses alineación estricta (adkim=s o aspf=s) de forma predeterminada. La alineación estricta no admite coincidencias flexibles y rechazará o pondrá en cuarentena correos electrónicos legítimos de subdominios y remitentes externos. Es una configuración avanzada adecuada para entornos específicos.
Cómo crear un registro TXT DMARC: paso a paso
1. Confirma que SPF y DKIM estén configurados
DMARC se supera si SPF o DKIM pasa la alineación – pero deberías tener ambos configurados antes de pasar a la aplicación. Un remitente que depende de un solo mecanismo no tiene alternativa si ese mecanismo falla. Verifica que SPF cubra tus fuentes de envío y que DKIM esté firmando los correos electrónicos salientes antes de crear el registro TXT DMARC.
2. Elige tu política inicial
Empieza con p=none. Esto genera reportes agregados sin afectar al envío de correos electrónicos. No comiences con p=quarantine ni p=reject antes de revisar los datos de los reportes. Necesitas visibilidad antes de actuar.
3. Configura el destino de tus informes
Configure rua= con un buzón de correo que controles o un servicio de reportes DMARC. Los reportes agregados llegan a diario y son la herramienta principal para mapear su infraestructura de envío – todas las fuentes que envían correo electrónico en nombre de su dominio aparecerán en estos reportes.
4. Crea el registro TXT DMARC
Combina las etiquetas obligatorias en un único valor de registro TXT.
Para una nueva implementación:
| Host | Tipo | Valor |
|---|---|---|
_dmarc.yourdomain.com | TXT | v=DMARC1; p=reject; rua=mailto:[email protected]; |
5. Publica el registro en el DNS
Crea el registro TXT DMARC en _dmarc.yourdomain.com en tu consola de gestión de DNS. Un TTL de 3,600 segundos (una hora) es lo habitual.
6. Verifica el registro
Utiliza una herramienta de consulta de DNS para confirmar que el registro está activo y correctamente formateado.
Errores habituales que evitar en el registro TXT DMARC
Pasar a la aplicación demasiado pronto
DMARC se supera si SPF o DKIM es válido y está alineado con el dominio «From». Pero si ninguno está configurado correctamente, todos los mensajes fallan – y bajo p=quarantine o p=reject, eso significa que el correo electrónico legítimo va a la carpeta de spam o se bloquea directamente.
Ignorar los reportes agregados
Sin reportes agregados, no hay visibilidad de qué está funcionando y qué falla. La fase de supervisión solo es útil si se actúa sobre los datos.
Usar alineación estricta sin pruebas
La alineación estricta puede hacer que los correos electrónicos legítimos de subdominios y remitentes externos no superen DMARC. Empieza con la opción flexible (relaxed) – es la predeterminada por una razón.
Descuidar los subdominios
Los subdominios que no tienen una etiqueta sp= propia heredan la política del dominio organizativo. Los subdominios utilizados para el envío necesitan su propia revisión de autenticación.
Supervisión continua de tu registro TXT DMARC
Crear un registro TXT DMARC inicia el proceso. No lo termina. El registro genera datos – esos datos requieren revisión, interpretación y acción.
Los reportes agregados son archivos XML legibles por máquina. Para un solo dominio con poco volumen, la revisión manual es manejable. A medida que crecen las carteras de dominios y la infraestructura de envío, el volumen de datos de los reportes y el número de fuentes que monitorear superan lo que los equipos pueden gestionar sin herramientas.
Para las empresas que gestionan varios dominios, entornos de envío distribuidos o requisitos de cumplimiento normativo, la gestión manual de DMARC genera lagunas: se pasan por alto fuentes, se descuidan subdominios y la aplicación se estanca porque nadie puede confirmar qué sigue fallando y por qué.
Los equipos que ya están al límite de su capacidad no pueden asumir esa carga de trabajo – y el registro de auditoría necesario para satisfacer a los comités de riesgos y a los reguladores no se genera solo.
La visibilidad debe ser continua. Las configuraciones de autenticación cambian cuando se incorporan nuevas herramientas, se actualizan los registros DNS, o los remitentes externos modifican su infraestructura. Un registro TXT DMARC que era preciso en el momento de su lanzamiento puede que no refleje la realidad seis meses después.
De la configuración del registro a la aplicación completa
Un registro TXT DMARC es el punto de partida. Pasar de p=none a p=reject – y mantenerlo – requiere visibilidad continua de todas las fuentes de envío, dominios y subdominios.
Gestión de DMARC de Sendmarc ofrece a los equipos de seguridad y TI lo que necesitan para alcanzar y mantener la aplicación completa:
- Visibilidad unificada de las configuraciones de SPF, DKIM y DMARC en todos los dominios
- Análisis e interpretación automatizados de los datos de los reportes agregados
- Ruta de aplicación guiada con supervisión continua de todas las fuentes de envío
- Registros de auditoría para respaldar los informes de cumplimiento y gobernanza
- Control centralizado en todos los departamentos, regiones y filiales
Descubre cómo Sendmarc simplifica la gestión de DMARC a gran escala.
