Correo corporativo
DMARC: de p=none a reject sin cortar correo legítimo
Plan por fases para endurecer DMARC con reportes, inventario de emisores y validación de flujos ERP/marketing.
14 min de lectura · Actualizado 2026-07-22
Por qué endurecer DMARC por fases
DMARC con p=reject instruye a Gmail y Outlook a rechazar mensajes que no pasen SPF/DKIM alineado. Protege contra suplantación activa de tu dominio, pero un reject prematuro elimina correo legítimo de sistemas olvidados: impresoras scan-to-email, ERP legacy, formularios PHP viejos, newsletters en subdominio sin DKIM.
La transición none → quarantine → reject es estándar industria. p=none solo reporta; no cambia entrega. Permite inventariar emisores reales vía reportes rua/ruf antes de castigar fallos.
Organizaciones reguladas y clientes enterprise piden DMARC reject como requisito de vendor security. Planificar 4–8 semanas es realista para medianas con múltiples SaaS; no es un cambio de un fin de semana salvo dominios con un solo emisor Google.
Documenta stakeholders: TI, marketing, operaciones, contabilidad (facturación electrónica). Cada uno confirma flujos bajo su control.
Fase 1: p=none e inventario de emisores
Publica v=DMARC1; p=none; rua=mailto:[email protected]; pct=100; adkim=r; aspf=r; fo=1 en _dmarc.tudominio.com. Valida sintaxis con /toolbox/dmarc-lookup.
Configura buzón o servicio agregador para XML de reportes (Google envía diario; volumen puede ser alto en dominios activos). Extrae: source IP, organización, SPF/DKIM result, header From, cantidad de mensajes.
Clasifica emisores: autorizados (corregir SPF/DKIM), desconocidos legítimos (añadir include), maliciosos (tráfico fraudulento — reject futuro los bloqueará), obsoletos (apagar servicio).
Ejecuta pruebas Mail Tester desde cada plataforma identificada. Marca «listo para quarantine» solo cuando SPF o DKIM alineen en pass consistente.
Fase 2: corregir autenticación por flujo
Oficina (Google/M365): DKIM ON en admin, SPF include correcto. ERP: a menudo requiere IP relay dedicada en SPF o subdominio smtp.tudominio.com con SPF+DKIM propios. Marketing: DKIM CNAME del ESP y include SPF del ESP — nunca «From @apex» sin firma del ESP alineada.
Para subdominios de campaña (news.tudominio.com), publica SPF en subdominio y DMARC en _dmarc.news o hereda política del org domain según estrategia. sp= en registro apex define política para subdominios sin _dmarc propio.
Alineación estricta (aspf=s; adkim=s) solo cuando todos los From coinciden exactamente con dominio firmado. Muchas empresas mantienen relajada (r) en quarantine y evalúan estricta tras estabilizar.
Bimode SPF: antes de reject, confirma PermError resuelto (guía bimode-spf-includes). DMARC no compensa SPF roto.
Fase 3: p=quarantine con pct gradual
Sube a v=DMARC1; p=quarantine; pct=10; rua=... durante una semana. pct aplica política solo al 10% de mensajes fallidos — útil en teoría, pero no todos los receptores honran pct igual; trátalo como red de seguridad parcial, no excusa para no arreglar auth.
Incrementa pct=25, 50, 100 en quarantine monitorizando tickets de «no me llegó». Gmail Postmaster spam rate debe mantenerse bajo.
Quarantine en Gmail suele ser spam folder; en Outlook Junk Email. Comunica internamente antes de ampliar pct.
Si un flujo crítico falla, regresa temporalmente a p=none solo para ese subdominio vía registro _dmarc en subdominio específico, no rebobines todo el apex sin causa.
Fase 4: p=reject y operación continua
Cuando reportes muestran >95% de volumen legítimo con SPF/DKIM pass alineado durante 2 semanas consecutivas, cambia a p=reject. Mantén rua activo para detectar nuevos emisores (shadow IT SaaS).
Reject bloquea suplantación externa: atacante sin tus claves no entrega a Gmail aunque spoofee From @tudominio.com. Validación final: envía prueba desde servicio no autorizado deliberado en entorno controlado — debe fallar.
Alta de nuevo SaaS: checklist obligatorio SPF include + DKIM + prueba Mail Tester antes de producción. Baja de SaaS: quitar include en la misma ventana.
Auditoría trimestral con /toolbox/email-deliverability y revisión de XML DMARC. DevOps o hosting administrado pueden automatizar alertas cuando aparezca IP desconocida en reportes.
Ponlo en práctica ahora
Usa las herramientas gratuitas del Toolbox para validar tu configuración en minutos.
¿Necesitas que lo resolvamos contigo?
Un ingeniero de Conecta puede aplicar esto en tu operación: servicio relacionado o conversación directa.