DMARC Generator

Por qué generar un registro DMARC?

DMARC (Domain-based Message Authentication, Reporting and Conformance) es el protocolo que completa SPF y DKIM para proteger tu dominio contra la suplantación de identidad (spoofing) y el phishing. Sin una política DMARC, cualquiera puede enviar correos haciéndose pasar por tu dominio.

Tres razones para tener DMARC:

• Protección de marca → Evita que los estafadores usen tu dominio para phishing
• Visibilidad completa → Recibe informes sobre quién envía emails desde tu dominio
• Mejor entregabilidad → Los proveedores (Gmail, Microsoft) favorecen dominios con DMARC

Cómo usar el generador en 3 pasos

Paso 1: Ingresa tu dominio

Introduce tu dominio organizacional exactamente como aparece en tus direcciones de correo (ejemplo: captaindns.com). La herramienta genera automáticamente el nombre DNS completo: _dmarc.captaindns.com.

Paso 2: Configura las opciones

Política principal (p): Qué hacer con los emails que fallan?

• none: Observar sin bloquear (recomendado al inicio)
• quarantine: Enviar a spam
• reject: Bloquear completamente

Alineación (adkim, aspf): Cómo verificar la correspondencia de dominios?

• relaxed (r): Se aceptan subdominios (recomendado)
• strict (s): Se requiere coincidencia exacta

Informes (rua, ruf): Dónde recibir estadísticas?

• Agrega mailto:dmarc@tudominio.com para informes agregados

Paso 3: Copia y publica

El generador produce el registro DNS completo. Cópialo en tu interfaz de gestión DNS:

• Nombre: _dmarc.tudominio.com
• Tipo: TXT
• Valor: El registro generado

Qué es exactamente DMARC?

DMARC es una política DNS que indica a los servidores de correo:

1. Qué verificar: SPF o DKIM pasan Y están alineados con el dominio visible?
2. Qué hacer si falla: Observar (none), spam (quarantine), o bloquear (reject)
3. Dónde reportar: Direcciones de email para recibir estadísticas

Ejemplo de registro DMARC:

_dmarc.ejemplo.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@ejemplo.com; adkim=r; aspf=r; pct=100"

Decodificado:

• v=DMARC1: Versión del protocolo (obligatorio)
• p=quarantine: Política = enviar a spam
• rua=mailto:...: Dirección para informes agregados
• adkim=r: Alineación DKIM relajada
• aspf=r: Alineación SPF relajada
• pct=100: Aplicar al 100% de los emails

Todas las etiquetas DMARC explicadas

Etiquetas obligatorias

Etiquetas opcionales comunes

Etiquetas avanzadas

Casos de uso prácticos

Caso 1: Dominio nuevo sin historial

Objetivo: Proteger un dominio que comienza a enviar emails.

Configuración recomendada:

v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.com; adkim=r; aspf=r

Pasos siguientes:

1. Monitorea informes durante 2-4 semanas
2. Identifica todas las fuentes legítimas
3. Pasa a p=quarantine; pct=25
4. Aumenta gradualmente hasta p=reject

Caso 2: Dominio con múltiples servicios (CRM, newsletter, transaccional)

Objetivo: Proteger sin romper flujos existentes.

Configuración inicial:

v=DMARC1; p=none; sp=none; rua=mailto:dmarc@ejemplo.com; adkim=r; aspf=r

Diagnóstico vía informes RUA:

• Lista todas las IPs/dominios que envían
• Verifica que cada fuente tenga SPF y DKIM configurados
• Identifica fuentes no autorizadas (spoofing potencial)

Despliegue gradual:

v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@ejemplo.com

Luego 25%, 50%, 100%, y finalmente p=reject.

Caso 3: Dominio que no envía emails

Objetivo: Prevenir cualquier uso fraudulento de un dominio "aparcado".

Configuración estricta directa:

v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s

No se necesita fase de observación si el dominio nunca debe enviar emails legítimos.

Errores frecuentes a evitar

Mejores prácticas de despliegue

Fase 1: Observación (2-4 semanas)

v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.com

• Recolecta informes
• Identifica todas las fuentes legítimas
• Corrige SPF/DKIM de fuentes no alineadas

Fase 2: Cuarentena gradual

v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@ejemplo.com

• Aumenta de 10% → 25% → 50% → 100%
• Monitorea quejas de usuarios
• Ajusta si es necesario

Fase 3: Rechazo

v=DMARC1; p=reject; rua=mailto:dmarc@ejemplo.com; adkim=r; aspf=r

• Protección máxima
• Opcionalmente pasa a alineación estricta (adkim=s; aspf=s)

FAQ - Preguntas frecuentes

P: Qué es un registro DMARC?

R: DMARC (Domain-based Message Authentication, Reporting and Conformance) es un registro DNS TXT que indica a los servidores de correo cómo manejar emails que fallan las verificaciones SPF y DKIM. Protege tu dominio contra el spoofing y el phishing.

P: Qué política DMARC debo usar para empezar?

R: Siempre comienza con p=none. Esta política no afecta la entrega pero te envía informes. Analiza estos informes durante 2-4 semanas para identificar todos los flujos legítimos antes de pasar a quarantine y luego reject.

P: Cuál es la diferencia entre RUA y RUF?

R:

• RUA (Reporting URI for Aggregate): Informes agregados diarios con estadísticas globales
• RUF (Reporting URI for Forensic): Informes detallados por fallo individual

RUA es esencial y soportado por todos. RUF es opcional y raramente soportado por proveedores.

P: Cómo funciona la alineación DMARC?

R: La alineación verifica que el dominio visible (From:) coincida con el dominio autenticado por SPF o DKIM:

• Relaxed (r): mail.ejemplo.com se alinea con ejemplo.com
• Strict (s): Se requiere coincidencia exacta

P: Puedo tener múltiples registros DMARC?

R: No. Solo se permite un registro DMARC por dominio. Múltiples registros causan errores. Edita el existente en lugar de agregar uno nuevo.

P: Cuánto tiempo hasta que DMARC esté activo?

R: El registro está activo una vez que el DNS se propaga (minutos a 48h). Los primeros informes RUA llegan dentro de 24-48h después de enviar emails desde tu dominio.

P: Cómo recibo informes para un dominio externo?

R: Si tu dirección RUA está en otro dominio, ese dominio debe autorizarte con:

tudominio._report._dmarc.dominio-reporte.com TXT "v=DMARC1"

Herramientas complementarias

Recursos útiles

• RFC 7489 - DMARC (especificación oficial)
• Google - Configurar DMARC (guía Gmail/Workspace)
• Microsoft - DMARC en Microsoft 365 (guía Microsoft)
• DMARC.org (sitio oficial del proyecto)