Cómo configurar DMARC: ejemplos de p=none a reject

Pasos#

1. 1

   Revisa primero SPF y DKIM

   Haz una lista de todos los servicios que envían con tu dominio en la dirección From y confirma que cada uno pasa SPF o DKIM con tu propio dominio. Google sugiere configurar ambos al menos 48 horas antes de DMARC ^S3.

2. 2

   Elige un buzón para los informes

   Crea una dirección como dmarc@ninefold.example o usa un servicio de informes. Los informes llegan como archivos XML comprimidos ^S2.

3. 3

   Publica un registro de monitoreo

   Agrega un registro TXT con el host _dmarc y el valor v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example. Una política none no cambia cómo se trata el correo ^S1.

4. 4

   Verifica el registro

   Ejecuta dig +short TXT _dmarc.ninefold.example o usa una herramienta de consulta DNS, y revisa que aparezca exactamente un registro y que empiece con v=DMARC1.

5. 5

   Lee los informes

   Revisa los informes agregados hasta que cada remitente legítimo muestre SPF o DKIM alineado. Google sugiere al menos una semana; el RFC 9989 sugiere cerca de un mes antes de aplicar la política ^S1S3.

6. 6

   Pasa a quarantine

   Cambia la política a p=quarantine para que el correo que falla vaya a spam. Sigue leyendo los informes.

7. 7

   Pasa a reject

   Después de un periodo similar con informes limpios, cambia la política a p=reject para que los receptores rechacen el correo que falla ^S1.

Qué necesitas antes de empezar#

DMARC no autentica nada por sí solo. Lee los resultados de SPF y DKIM y comprueba que al menos uno pasó para un dominio alineado con la dirección From visible ^S1. Si tu herramienta de marketing firma con su propio dominio y no con el tuyo, DMARC falla aunque DKIM haya pasado. Corrige eso primero, o los informes se llenarán con tu propio correo.

Para una marca de ropa pequeña como Ninefold, la lista de remitentes suele incluir el buzón del equipo, los correos de pedido y envío de la plataforma de la tienda, el sistema de soporte y la herramienta de email marketing. Cada uno necesita SPF o DKIM configurado en ninefold.example. La guía de SPF, DKIM y DMARC explica cómo funciona cada registro.

Gmail exige un registro DMARC a quien envía más de 5,000 mensajes al día a cuentas personales de Gmail, y acepta una política none ^S4. Yahoo también pide al menos p=none a los remitentes masivos ^S5. Publicar el registro toma minutos, así que vale la pena agregarlo con cualquier volumen.

Sintaxis del registro DMARC#

Un registro DMARC es un registro TXT publicado en _dmarc de tu dominio. Es una lista de etiquetas separadas por punto y coma. La etiqueta v=DMARC1 debe ir primero, o los receptores ignoran todo el registro ^S1. Estas son las etiquetas que necesita una tienda:

No incluyas adkim ni aspf salvo que tengas una razón. La alineación flexible, que es la predeterminada, permite que el correo firmado por un subdominio como mail.ninefold.example se alinee con una dirección From en ninefold.example ^S1, y Yahoo acepta la alineación flexible ^S5.

Ejemplos de registro DMARC para cada etapa#

Estos ejemplos usan ninefold.example. Reemplaza el dominio y la dirección de informes por los tuyos, y publica cada uno bajo el host _dmarc.

Monitoreo

v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example

Cuarentena

v=DMARC1; p=quarantine; rua=mailto:dmarc@ninefold.example

Rechazo

v=DMARC1; p=reject; np=reject; rua=mailto:dmarc@ninefold.example

Las guías anteriores, incluida la página de implementación de Google, usan pct= para aplicar la política a un porcentaje del correo ^S3. El RFC 9989 eliminó esa etiqueta porque los receptores solo la aplicaban de forma fiable en 0 o 100, y agregó t=y para un periodo de prueba ^S1. Los receptores deben ignorar las etiquetas que no conocen, así que uno que todavía no admite np o t simplemente las omite ^S1.

Qué te dicen los informes rua#

Los proveedores de correo que envían informes agregados suelen mandar uno al día por dominio, como un archivo XML comprimido ^S2. Cada informe enumera las direcciones IP que enviaron correo con tu dominio, cuántos mensajes salieron de cada una, los resultados de SPF y DKIM, si se alinearon y qué hizo el receptor con el correo ^S2.

• Un origen que reconoces y que falla la alineación es un remitente que olvidaste configurar. Activa DKIM con tu dominio en ese servicio o agrégalo a SPF.
• Un origen que no reconoces es un servicio que alguien de tu equipo contrató, o alguien que suplanta tu dominio. Pregunta antes de aplicar la política.
• El correo reenviado suele fallar SPF y pasar DKIM ^S1. Es lo esperado, y una de las razones por las que DKIM alineado es lo más importante.

El XML sin procesar es difícil de leer a mano, así que muchas tiendas envían rua a un servicio de informes que lo convierte en gráficas. Si ese servicio usa otro dominio, debe publicar un registro de autorización, o los receptores ignoran la dirección ^S2. Los servicios de informes lo configuran por su lado.

Cómo pasar de p=none a quarantine y a reject#

El orden siempre es el mismo: monitorear, luego cuarentena y luego rechazo. Lo que cambia es cuánto dura cada etapa. Google sugiere al menos una semana en none ^S3. El RFC 9989 sugiere al menos un mes en none y un periodo similar en quarantine antes de reject ^S1. Una tienda con pocos remitentes e informes limpios puede avanzar más rápido que una con una docena de herramientas.

Antes de cada cambio, revisa los informes de la última semana en busca de orígenes conocidos que fallen. Si tu equipo escribe a listas de correo desde el dominio de la tienda, el RFC 9989 desaconseja p=reject: el correo de lista rechazado por los receptores causa problemas a la lista y puede hacer que se den de baja suscriptores ^S1. En ese caso, quarantine es un buen punto para detenerse.

DMARC para subdominios#

Sin un registro propio, un subdominio como news.ninefold.example usa la política de ninefold.example. Usa sp para dar a los subdominios existentes una política distinta, y np para los nombres que no existen, una vía común para suplantar una marca ^S1.

Algunas tiendas envían su email marketing desde un subdominio para separarlo del correo del equipo. Ese subdominio puede tener su propio registro _dmarc. El RFC 9989 describe cómo probar un subdominio con p=quarantine; t=y, pasar después a p=reject y quitar la marca de prueba ^S1.

Configurar DMARC con Tellnod en Claude o ChatGPT#

Tellnod es un conector MCP para redactar, previsualizar y enviar email marketing desde Claude o ChatGPT. Puedes enviar de inmediato desde una dirección en el dominio compartido de Tellnod, como hello@yourshop.tellnodmail.com, con un límite de 500 destinatarios por campaña y 1,000 emails al mes. Verificar tu propio dominio elimina esos límites.

Pide en el chat: “Configura ninefold.example como mi dominio de envío.” Tellnod te da los registros SPF, DKIM y DMARC y los revisa por ti. Si otra persona administra tu DNS, pide un enlace de configuración para enviárselo: puede agregar los registros en un clic en los proveedores compatibles, o copiarlos, sin crear una cuenta. Te avisamos en el chat y por email cuando el dominio quede verificado. Si ya tienes un registro DMARC, conserva uno solo y confirma que tu correo de Tellnod esté alineado antes de endurecer la política.

Cada campaña sigue pasando por una vista previa en computadora y en celular, y por una tarjeta de confirmación que solo tú puedes presionar. Tú apruebas cada envío. Conecta Tellnod para empezar con el plan gratis, o compara los planes en la página de precios. Para el resto de lo que esperan Gmail y Yahoo, consulta los conceptos básicos de entregabilidad.

Preguntas frecuentes#