Herramientas populares

Tema

Generador de registros DMARC

Cree su registro DMARC para el RFC 9989, partiendo del que publica hoy, y vea qué harán los receptores con el correo que falla.

RFC 9989, 9990 y 9991 · su registro actual leído desde su navegador · nada de lo que escribe se guarda
DNS leído desde su navegador

Carga en el formulario el registro de _dmarc de su dominio. O cree uno abajo: se actualiza con cada cambio.

Pruebe

Se hace en su navegador. Solo las consultas DNS salen de él, por HTTPS hacia el resolvedor de Cloudflare (el de Google como segunda opinión).

Ejemplo

Un registro de ejemplo para example.com

Escriba su dominio arriba para partir de lo que publica hoy, o cambie cualquier cosa abajo. El registro de la derecha se actualiza sobre la marcha.

pPolítica para example.com
tModo de prueba
Los receptores aplican un nivel menos: reject actúa como quarantine y quarantine como none. Desactívelo para hacer cumplir la política.
ruaA dónde van los informes agregados
dmarc@example.com
Conteos diarios de quién envía como su dominio. Un buzón que usted lea o un servicio de informes DMARC.
spSubdominios
news.example.com, mail.example.com…
npSubdominios que no existen
Nombres inventados como invoices.example.com, favoritos de los suplantadores.
adkimAlineación
DKIM
SPF
La relajada permite que mail.example.com cuente como example.com; la estricta exige el nombre exacto.
Este dominio no envía correo
Rechazar todo y agregar los registros que necesita un dominio estacionado.
Informes de fallos y más
rufA dónde van los informes de fallos
Un informe por cada mensaje que falla. Pueden incluir el contenido del mensaje, y Gmail y Microsoft no los envían.
foEnviar informes de fallos cuando

psd= es solo para operadores de sufijos públicos, así que no se ofrece.

Qué pasa con el correo que falla DMARC

El correo que pasa nunca se ve afectado. Para el que falla, los receptores leen su registro así:

Desde example.comexample.com
p=nonedecide
—
Entregadoe informado
Desde un subdominionews.example.com
p=nonedecide
—
Entregadoe informado
Desde un nombre que no existex7q.example.com
p=nonedecide
—
Entregadoe informado

Una política es una solicitud: los receptores toman la decisión final. Con Honor DMARC record policy activado, como recomienda Microsoft, Microsoft 365 rechaza los fallos de reject con 550 5.7.1 y envía los fallos de quarantine a Correo no deseado.

Despliegue

  1. 1
    Monitorearp=nonep=none con informes, al menos un mesahoraUsted está aquí
  2. 2
    Probarp=quarantine; t=yquarantine con t=y: opcional
  3. 3
    Cuarentenap=quarantineal menos tanto como monitoreó 
  4. 4
    Rechazarp=rejectsi sus usuarios no publican en listas de correo 

Antes de publicar

Listo para publicar

Un solo registro, sin nada que los receptores omitan o malinterpreten.

Bien

A dónde van sus informes

Los receptores envían informes a la dirección de otra organización solo si esta publica un registro de autorización.

dmarc@example.com ruaDentro de example.com: no se necesita autorización
OK

Los servicios de informes publican un solo registro que cubre todos los dominios, así que sus direcciones suelen aparecer como Autorizada de inmediato.

¿Dónde lo pego?

Elija su proveedor de DNS: los campos de abajo están escritos como los pide su formulario.

Línea del archivo de zona
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Después de publicar

Verificación completa: example.comEl enlace lleva estos ajustes, nunca una clave. Consultado desde su navegador: el resolvedor de Cloudflare, el de Google como segunda opinión.

¿Cómo creo un registro DMARC?

Publique un registro TXT llamado _dmarc en su dominio, que empiece con v=DMARC1, una política y una dirección para los informes: el generador de arriba lo escribe, y funciona en cuanto su proveedor de DNS lo sirve.

Compruebe que su correo ya pasa SPF o DKIM y empiece con p=none y una dirección rua que lea: los receptores siguen entregando como antes y le envían informes diarios de quién envía como su dominio.

Lea los informes durante al menos un mes, corrija cada remitente legítimo que falla y luego pase a quarantine y reject. Un registro en su dominio organizacional cubre también sus subdominios.

  1. 1Publique en _dmarc_dmarc.example.com · TXT
    v=DMARC1; p=none; rua=mailto:dmarc@example.com
  2. 2Los receptores lo consultanconsulta TXT _dmarc.example.com
  3. 3Aplican su políticap=none → entregado
  4. 4Los informes llegan a diarioinforme agregado (XML, diario)dmarc@example.com
Un registro, cuatro pasos
Generador DMARC que reescribe un registro RFC 7489 para el RFC 9989, con la ruta de la política y los permisos de informesGenerador DMARC que reescribe un registro RFC 7489 para el RFC 9989, con la ruta de la política y los permisos de informesParta de lo que publicaCargar lee _dmarc desde su navegador y completa el formulario; nada pasa por nuestro servidor.Cada etiqueta, coloreadaCada parte del registro coincide con su ajuste: pase el cursor sobre una para encontrar la otra.Qué cambió y por quéLas etiquetas que el RFC 9989 eliminó se quitan, cada una con su motivo.Cópielo como lo quiere su proveedorHost, tipo y valor, cada uno con su botón de copiar, reescritos para su proveedor de DNS.Direcciones de informes, verificadasUna dirección de otra organización se señala, y su registro de autorización se comprueba en vivo.
Un registro publicado cargado desde DNS: pct, rf y ri eliminados con el motivo de cada uno, cada etiqueta coloreada como su ajuste, y una dirección de informes de otra organización señalada.

¿Qué significa cada etiqueta DMARC?

Un registro DMARC es una lista de pares etiqueta=valor: v dice qué es, p qué hacer con el correo que falla, rua a dónde van los informes, y cualquier otra etiqueta solo cambia un valor predeterminado.

El RFC 9989 conserva v, p, sp, adkim, aspf, rua, ruf y fo, agrega np (nombres que no existen), t (modo de prueba) y psd (para operadores de sufijos públicos), y elimina pct, rf y ri.

Solo v debe ir primero y ser exactamente DMARC1; las etiquetas que el RFC 9989 no conoce se ignoran, así que una etiqueta eliminada es inofensiva pero no hace nada.

EtiquetaValoresPredeterminadoQué hace
vDMARC1obligatoriaIdentifica el registro; debe ir primero
pnone · quarantine · rejectnoneQué hacen los receptores con el correo del dominio que falla
spnone · quarantine · rejectpLo mismo para los subdominios que existen
np nuevanone · quarantine · rejectsp, luego pLo mismo para los nombres que no existen
t nuevay · nnModo de prueba: aplicar un nivel menos
ruadirecciones mailto:ningunaA dónde van los informes agregados diarios
rufdirecciones mailto:ningunaA dónde van los informes de fallos por mensaje
fo0 · 1 · d · s0Cuándo enviar informes de fallos
adkimr · srAlineación DKIM: relajada o estricta
aspfr · srAlineación SPF: relajada o estricta
psd nuevay · n · uuSolo para operadores de sufijos públicos
pct eliminada0–100Eliminada: solo 0 y 100 funcionaban de forma fiable
rf eliminadaafrfEliminada: tenía un solo valor
ri eliminadasegundosEliminada: los informes son diarios de todos modos
Las etiquetas del RFC 9989

¿Qué política DMARC debo usar: none, quarantine o reject?

Empiece con none y con informes, pase a quarantine cuando todos los remitentes legítimos pasen, y a reject cuando esté seguro: el RFC 9989 pide al menos un mes en none y otro tanto en quarantine.

none no cambia nada de la entrega; quarantine envía el correo que falla a spam; reject lo rechaza. Una política es una solicitud: los receptores toman la decisión final.

Los dominios cuyos usuarios publican en listas de correo NO DEBERÍAN usar reject, porque las listas que modifican los mensajes rompen DMARC para ellos. Google sugiere una vía más rápida (una semana en none y luego una parte pequeña en quarantine).

  1. 1
    Monitorearp=none; rua=…al menos un mesahoraEntregado e informado
  2. 2
    Probarp=quarantine; t=yopcionalUn nivel menos
  3. 3
    Cuarentenap=quarantineal menos otro tantono antes del 28 nov 2026Carpeta de spam
  4. 4
    Rechazarp=rejectsi sus usuarios no publican en listasno antes del 28 dic 2026Rechazado
La vía más rápida de Googlenone · 1 semanaquarantine · una parte pequeñaquarantine 100%reject (opcional)
El despliegue, con fechas reales a partir de hoy

¿Qué cambió en DMARC con el RFC 9989?

El RFC 9989 (mayo de 2026) reemplazó al RFC 7489: eliminó pct, rf y ri, agregó np, t y psd, y encuentra el dominio organizacional subiendo por DNS en lugar de leer la Public Suffix List.

pct=0 ahora se lee como t=y; cualquier otro pct se descarta porque los receptores lo aplicaban de forma inconsistente. El sufijo de tamaño de informe (!10m) se ignora.

El recorrido del árbol consulta _dmarc en el nombre y en cada nivel superior, con un máximo de ocho consultas, así que un nombre muy profundo debería llevar su propio registro. Las páginas de ayuda de Google y Microsoft aún describen pct.

Antes
v=DMARC1; p=quarantine; pct=0; rua=mailto:dmarc@example.com!10m; rf=afrf; ri=86400
Después
v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com
  • pct=0 pasó a t=y
  • rf eliminado
  • ri eliminado
  • !10m eliminado
El recorrido del árbol DNS_dmarc.mail.news.example.comNXDOMAIN_dmarc.news.example.comNXDOMAIN_dmarc.example.comv=DMARC1 ✓gana el primer registro encontrado; como máximo 8 consultas
Un registro RFC 7489 publicado, reescrito

¿Cómo envío los informes DMARC a otro servicio?

Ponga la dirección del servicio en rua; cuando el dominio del servicio no es el suyo, debe publicar un registro de autorización llamado como example.com._report._dmarc.reports.example.net (su dominio y luego el del servicio), que los servicios de informes publican una sola vez para todos los dominios con un comodín.

Sin ese registro los receptores no envían los informes a ninguna parte, y nada se lo avisa. El generador comprueba en vivo cada dirección externa y muestra el registro que su propietario debe publicar.

Use un buzón o un servicio pensado para el volumen: los grandes remitentes reciben cientos de informes al día. Los informes de fallos (ruf) pueden incluir el contenido del mensaje, y Gmail y Microsoft no los envían.

Su registro
v=DMARC1; p=none; rua=mailto:reports@rua.vendor.example.net
consulta
registro de autorizaciónexample.com._report._dmarc.rua.vendor.example.netTXT "v=DMARC1;"
envía el informe
El servicio de informesreports@rua.vendor.example.net

Servicios de informes que publican una autorización comodín

dmarcianValimailEasyDMARCPostmarkCloudflareMimecast DMARC AnalyzerProofpointAgariRed Sift OnDMARCPowerDMARCSendmarcURIportsReport URIDMARCLYFraudmarcDMARC Report
Quién verifica qué

DMARC para remitentes de Gmail, Yahoo y Outlook.com

Gmail, Yahoo y Outlook.com exigen a los remitentes masivos publicar DMARC, y basta con p=none; además, el dominio de From debe alinearse con SPF o DKIM.

Gmail y Outlook.com cuentan más de 5000 mensajes al día; Yahoo no indica umbral. Outlook.com quiere que SPF y DKIM pasen ambos, y rechaza el correo que falla con 550 5.7.515.

Los logotipos BIMI piden más: quarantine o reject en el dominio organizacional y en el de From, sin una política de subdominios en none.

GmailYahooOutlook.com
Desdefebrero de 2024febrero de 20245 de mayo de 2025
A quién se aplicamás de 5000 al díasin umbral indicadomás de 5000 al día
DMARCbasta con p=nonep=none, y debe pasarp=none, alineado
SPF y DKIMambosambosambos deben pasar
AlineaciónSPF o DKIMla relajada bastaSPF o DKIM
Qué pide cada proveedor de buzones a los remitentes masivos

DMARC para un dominio que no envía correo

Publique DMARC p=reject, SPF v=spf1 -all y un MX nulo, con SPF y MX comodín para los subdominios, y ningún registro DKIM: el conjunto de 2022 de M3AAWG para dominios estacionados.

Con nada autorizado a enviar, reject no puede dañar el correo real, y los receptores rechazan las falsificaciones de inmediato. M3AAWG ya no aconseja aquí una clave DKIM vacía (su consejo de 2015): no publique ningún registro DKIM.

¿Tiene muchos dominios estacionados? Apunte cada _dmarc a un registro compartido con un CNAME, para que un cambio posterior se haga una sola vez.

example.net. 3600 IN TXT "v=spf1 -all"
_dmarc.example.net. 3600 IN TXT "v=DMARC1; p=reject;"
example.net. 3600 IN MX 0 .
*.example.net. 3600 IN TXT "v=spf1 -all"
*.example.net. 3600 IN MX 0 .
Un suplantador envía como invoices@example.netRechazado: SPF falla, no hay DKIM, DMARC dice reject
El conjunto de dominio estacionado para example.net

¿Dónde agrego el registro DMARC?

En su proveedor de DNS, como un registro TXT llamado _dmarc: la mayoría de los proveedores agregan su dominio por su cuenta, así que escriba solo _dmarc, nunca _dmarc.example.com.

Escribir el nombre completo en un proveedor que agrega el dominio crea _dmarc.example.com.example.com, un registro que nadie lee. Elija su proveedor en el generador para ver sus campos exactos.

Un nombre solo puede tener un registro DMARC: reemplace el anterior en lugar de agregar un segundo, o los receptores ignoran ambos.

Proveedor de DNSCampo NombreUn valor largo
Cloudflare_dmarcun solo campo: se divide
GoDaddy_dmarcun solo campo: se divide
Namecheap_dmarcun solo campo: se divide
Squarespace_dmarcno documentado
Amazon Route 53_dmarccadenas entre comillas
Google Cloud DNS_dmarccadenas entre comillas
Azure DNS_dmarcun solo campo: se divide
DigitalOcean_dmarcno documentado
Hostinger_dmarcno documentado
IONOS_dmarcno documentado
OVHcloud_dmarcno documentado
Porkbun_dmarcno documentado
cPanel_dmarcun solo campo: se divide
Plesk_dmarcno documentado
Hetzner_dmarccadenas entre comillas
STRATO_dmarcno documentado
Bluehost_dmarcno documentado
Qué escribir, proveedor por proveedor

Preguntas frecuentes sobre el generador de registros DMARC

¿Qué es un registro DMARC?

Un registro DMARC es un registro TXT en _dmarc.sudominio que indica a los servidores de correo receptores qué hacer con el correo que dice venir de su dominio pero falla la alineación de SPF y DKIM, y a dónde enviar los informes al respecto. Empieza con v=DMARC1 y contiene una política: none, quarantine o reject. El RFC 9989, publicado en mayo de 2026, es el estándar vigente.

¿Cuál debe ser mi primer registro DMARC?

Empiece con v=DMARC1; p=none; rua=mailto: más una dirección que lea. No cambia nada de la entrega, pero hace que los receptores le envíen informes diarios de cada servidor que envía como su dominio. Después de al menos un mes, cuando sus propios remitentes pasen, pase a quarantine y luego a reject, como sugiere el RFC 9989.

¿Por qué no hay un ajuste pct?

El RFC 9989 eliminó pct porque los receptores aplicaban de forma inconsistente valores distintos de 0 y 100. Su reemplazo es t=y, el modo de prueba, que pide a los receptores aplicar un nivel menos que su política: quarantine actúa como none y reject como quarantine. Las páginas de ayuda de Microsoft y Google aún describen pct, pero los receptores del RFC 9989 lo ignoran, así que el generador no lo escribe.

¿Los informes DMARC pueden ir a Gmail o a Outlook?

Sí, sirve cualquier buzón, pero una bandeja personal se llena rápido: los grandes remitentes reciben cientos de informes al día. Si la dirección está en otra organización, ese dominio debe publicar un registro de autorización para el suyo, o los receptores no envían nada. Un buzón en su propio dominio, o un servicio de informes DMARC, evita el problema.

¿Necesito SPF y DKIM antes de DMARC?

Puede publicar p=none antes que nada: los informes muestran qué remitentes necesitan SPF o DKIM. Antes de quarantine o reject, cada flujo legítimo debe pasar SPF o DKIM alineado con su dominio de From. El RFC 9989 recomienda ambos, y un dominio en reject debería firmar con DKIM, porque el reenvío rompe SPF.

¿Cuál es la diferencia entre rua y ruf?

rua recibe los informes agregados: resúmenes XML diarios que cuentan los mensajes por servidor emisor y resultado, sin contenido de los mensajes. ruf recibe informes de fallos de mensajes individuales, que pueden incluir encabezados o contenido. Muchos grandes proveedores, entre ellos Gmail y Microsoft, no envían informes de fallos, así que rua es el que importa; ruf es opcional.

¿Debo usar alineación estricta?

Normalmente no. La alineación relajada permite que el correo firmado o rebotado mediante un subdominio, como bounce.example.com, cuente para example.com, que es como envían SendGrid, Amazon SES y Mailgun. La estricta exige el dominio exacto y los hace fallar. La estricta sí impide que quien controla el DNS de un subdominio se haga pasar por el principal, así que conviene a dominios muy bien administrados.

¿Qué hacen sp y np?

sp fija la política de los subdominios que existen, como news.example.com, y np la de los nombres que no existen en absoluto, como un invoices.example.com inventado. Sin ellos, los subdominios siguen a p. Fijar np=reject solo afecta al correo que falla de nombres que usted nunca creó, que es como los suplantadores suelen intentar eludir una política más débil del dominio principal.

¿Cuánto tarda en funcionar un registro DMARC?

Funciona en cuanto los servidores de su proveedor de DNS responden con él, normalmente a los pocos minutos de guardarlo. Un receptor que consultó justo antes puede recordar la respuesta anterior hasta que se agote su tiempo de caché. Los informes llegan cerca de un día después, porque los receptores los envían una vez cada 24 horas. Use Comprobar que está publicado en el generador para ver qué responde DNS ahora.

¿El generador DMARC es gratis y se guarda mi dominio?

Es gratis, sin registrarse. El registro se arma en su navegador, y al cargar su registro actual se consulta al resolvedor de Cloudflare (y al de Google cuando Cloudflare es lento) por HTTPS directamente desde su navegador, así que su dominio no pasa por nuestro servidor. El generador nunca agrega una dirección de informes nuestra: cada dirección del registro es una que usted escribió.

¿Le falta algo?Sugiera una función o una herramienta nueva

Herramientas relacionadas