--- title: "DMARC: cómo pasar de p=none a p=reject sin perder correos" description: "Las etiquetas de DMARC según el RFC 9989, cómo leer los informes, cómo subir la política por fases y cómo proteger subdominios y dominios sin correo." url: https://lndigital.es/dmarc-como-configurarlo/ updated: 2026-10-21T15:33:00+00:00 --- # DMARC: cómo pasar de p=none a p=reject sin perder correos 21 de octubre de 20264 min de lecturaPor LN Digital **DMARC** es el ajuste que de verdad protege tu dominio: le dice a quien recibe un correo «tuyo» qué hacer si no pasa las comprobaciones de [SPF](https://lndigital.es/spf-como-configurarlo/) y [DKIM](https://lndigital.es/dkim-como-activarlo/), y te envía informes de quién está enviando con tu nombre. Muchas empresas lo tienen en `p=none` desde hace años, que no protege. Aquí explicamos cómo llegar a `p=reject` sin que se pierda ningún correo legítimo. Si quieres la visión general, la tienes en [SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam](https://lndigital.es/spf-dkim-dmarc-correo-spam/). ![DMARC: cómo pasar de p=none a p=reject sin perder correos](https://lndigital.es/wp-content/uploads/2026/10/dmarc-como-configurarlo.jpg) ## El registro, etiqueta a etiqueta DMARC se publica como un registro TXT en `_dmarc.tudominio.es`. Por ejemplo, para empezar: `v=DMARC1; p=none; rua=mailto:dmarc@tudominio.es` Desde mayo de 2026, DMARC es estándar oficial (**RFC 9989**), y estas son sus etiquetas: - `v=DMARC1`: obligatoria y la primera. - `p`: la política, `none` (ninguna preferencia), `quarantine` (sospechoso) o `reject` (rechazar). - `sp`: la política para los subdominios; si no está, se aplica `p`. - `np`: nueva en el estándar, la política para subdominios que **no existen**. - `adkim` y `aspf`: la alineación de DKIM y de SPF, relajada (`r`, la de por defecto) o estricta (`s`). - `rua`: dónde recibir los informes agregados. - `ruf` y `fo`: los informes de fallo de mensajes concretos. Ni Gmail ni Microsoft 365 los envían. - `t`: el modo de prueba (`t=y`). **Lo que desaparece**: la etiqueta `pct` (el porcentaje de correos al que se aplica la política) se sustituye por `t`, y también desaparecen `rf` y `ri`. Pero ojo: a octubre de 2026, las guías de **Microsoft y Google siguen usando `pct`** y el estándar antiguo, y no consta que los servidores de correo ya interpreten `t`. En la práctica, hoy verás las dos. Sobre la alineación: Google pone en su ejemplo `adkim=s; aspf=s` (estricta), pero Microsoft avisa de que la alineación estricta de SPF hace fallar los envíos desde subdominios. Para una pyme con herramientas que envían desde subdominios, lo prudente es dejar la relajada, que es la de por defecto. ## Los informes: qué son y cómo leerlos Con `rua`, los servidores que reciben tu correo te envían cada día un **informe agregado**: un fichero XML (normalmente comprimido) con una fila por cada servidor que ha enviado correo con tu dominio, cuántos mensajes, y si han pasado SPF, DKIM y DMARC. Está definido en el **RFC 9990**, de mayo de 2026. - **Recíbelos en un buzón o un servicio dedicado**, no en el de una persona: Google avisa de que pueden llegar muchos, y Microsoft recomienda un buzón específico o un grupo. - **No todos los servidores envían informes**: según Microsoft, suelen cubrir entre el 70 % y el 90 % del correo. - **La pista clave** al leerlos, según Microsoft: si SPF o DKIM aparecen como `pass` pero DMARC como `fail`, ese servicio está autorizado, pero **no alineado** con tu dominio. Hay que configurarlo para que firme o envíe con tu dominio. - Si los informes van a una dirección de **otro dominio** (por ejemplo, un servicio externo), ese dominio tiene que publicar un registro que lo autorice (`tudominio.es._report._dmarc.otrodominio`); sin él, los servidores no envían los informes. Los servicios de informes suelen publicarlo ellos. ## De `p=none` a `p=reject`, por fases Microsoft lo plantea como objetivo: llegar a `p=reject` en todos tus dominios y subdominios. El camino, según su guía, la de Google y el propio estándar: 1. **Antes de nada**, SPF y DKIM funcionando en todo lo que envía con tu dominio. Google pide esperar 48 horas tras configurarlos. 2. **`p=none` con `rua`**, y leer los informes. Microsoft recomienda revisarlos cada semana al principio y cada mes cuando todo esté estable. 3. **Corregir lo que salga**: servicios que no estaban en SPF, que no firman con DKIM o que no están alineados. 4. **`p=quarantine`**, aplicándolo poco a poco: Microsoft propone empezar por un 10-25 % y subir al 50, 75 y 100 %. 5. **`p=reject`**. Microsoft aconseja empezar por los subdominios de menos volumen y dejar el dominio principal para el final, y el estándar avisa de que pueden hacer falta meses de informes antes de este paso. **Ojo con las herramientas que «configuran DMARC» por ti.** Brevo, por ejemplo, ofrece autenticar el dominio automáticamente y, si ya tienes DMARC, te pregunta si quieres sustituirlo por el suyo, que en su ejemplo es `v=DMARC1; p=none; rua=mailto:rua@dmarc.brevo.com`. Si ya tenías `quarantine` o `reject`, aceptarlo bajaría tu protección a `p=none`; Brevo indica que, para conservar tu registro, hay que autenticar el dominio a mano. Solo puede haber un registro DMARC por dominio: si varias herramientas necesitan los informes, se añaden sus direcciones al mismo `rua`. ## Subdominios Si un subdominio no tiene su propio registro DMARC, hereda el del dominio principal (o el de `sp`, si lo has puesto). Pero cada subdominio que envía correo necesita su propio SPF y su propio DKIM. ## Los dominios que no envían correo Si tienes dominios que no usas para el correo (la variante con guiones, el `.com` además del `.es`, uno antiguo), cualquiera puede usarlos para suplantarte. La guía de la administración británica (gov.uk) recomienda publicar en ellos: - SPF que no autoriza a nadie: `v=spf1 -all`. - DMARC que lo rechaza todo: `v=DMARC1; p=reject; sp=reject`. - Un registro MX nulo (prioridad 0 y valor `.`), para decir que no reciben correo. - Una clave DKIM vacía. Microsoft recomienda lo mismo en SPF y DMARC, pero en DKIM dice lo contrario: **no publicar nada**. Con SPF y DMARC así ya queda protegido. ## Cómo comprobarlo En las cabeceras de un correo recibido, en `Authentication-Results`, verás `dmarc=pass` o `dmarc=fail`, y el dominio del remitente (`header.from=`) frente a los que han comprobado SPF y DKIM. O pasa tu dominio por nuestro [analizador de correo](https://lndigital.es/herramientas/analizador-correo/), que revisa tu registro DMARC, su política y si tus correos tienen lo necesario para pasarlo. ## Preguntas frecuentes ### ¿`p=quarantine` ya protege? Sí: pide al destinatario que trate como sospechoso (normalmente, a correo no deseado) lo que falla. `p=reject` va más allá y pide rechazarlo. ### ¿Perderé correos al pasar a `p=reject`? Solo si algún servicio legítimo no está bien configurado. Para eso están las fases y los informes: cuando los informes muestran que todo tu correo pasa, el cambio no se nota. ### ¿Cada cuánto hay que revisar los informes? Microsoft recomienda cada semana durante el despliegue y cada mes cuando todo está estable, y siempre que se contrate una herramienta nueva que envíe con tu dominio. ## ¿Te lo dejamos en `p=reject`? En LN Digital configuramos SPF, DKIM y DMARC para que tus correos no acaben en spam y nadie pueda hacerse pasar por ti, dentro de nuestro [mantenimiento de servidores](https://lndigital.es/mantenimiento-de-servidores/). [Escríbenos](https://lndigital.es/contacto/). ## Fuentes Consultadas el 20 de octubre de 2026. - [RFC 9989 (DMARC)](https://www.rfc-editor.org/rfc/rfc9989.html), secciones 4.7, 4.10, 5.1 y 7.1, y apéndice A.6; [RFC 9990 (informes agregados)](https://www.rfc-editor.org/rfc/rfc9990.html); [RFC 7489](https://www.rfc-editor.org/rfc/rfc7489.html), al que sustituyen. - Microsoft Learn: [configurar DMARC](https://learn.microsoft.com/es-es/defender-office-365/email-authentication-dmarc-configure). - Google Workspace: [configurar DMARC](https://knowledge.workspace.google.com/admin/security/set-up-dmarc?hl=es) y [despliegue recomendado](https://knowledge.workspace.google.com/admin/security/recommended-dmarc-rollout?hl=es). - [Gov.uk: proteger los dominios que no envían correo](https://www.gov.uk/guidance/protect-domains-that-dont-send-email). - [Brevo: autenticar tu dominio](https://help.brevo.com/hc/en-us/articles/12163873383186) (consultada el 21 de octubre de 2026). Herramienta relacionada - [Analizador de correo](https://lndigital.es/herramientas/analizador-correo/) [¿Tus correos acaban en spam? Analiza el correo de tu dominio: si recibe bien y si alguien puede hacerse pasar por ti (SPF, DKIM y DMARC), y los registros exactos para arreglarlo.](https://lndigital.es/herramientas/analizador-correo/) [Analizar mi correo →](https://lndigital.es/herramientas/analizador-correo/) ## Compartir la entrada [](https://www.facebook.com/sharer.php?u=https://lndigital.es/dmarc-como-configurarlo/) [](https://www.linkedin.com/shareArticle?mini=true\&url=https://lndigital.es/dmarc-como-configurarlo/\&title=DMARC%3A%20c%C3%B3mo%20pasar%20de%20p%3Dnone%20a%20p%3Dreject%20sin%20perder%20correos\&summary=\&source=https://lndigital.es/dmarc-como-configurarlo/) [](https://twitter.com/intent/tweet?text=%20https://lndigital.es/dmarc-como-configurarlo/) [Entrada Anterior](https://lndigital.es/dkim-como-activarlo/) [Siguiente Entrada](https://lndigital.es/spf-como-configurarlo/) ## Otras entradas [![SPF: qué es y cómo configurarlo bien en Microsoft 365 y Google Workspace](https://lndigital.es/wp-content/uploads/2026/10/spf-como-configurarlo.jpg)](https://lndigital.es/spf-como-configurarlo/) ### [SPF: qué es y cómo configurarlo bien en Microsoft 365 y Google Workspace](https://lndigital.es/spf-como-configurarlo/) [Leer entrada](https://lndigital.es/spf-como-configurarlo/) [![DKIM: cómo firmar el correo de tu empresa en Microsoft 365 y Google Workspace](https://lndigital.es/wp-content/uploads/2026/10/dkim-como-activarlo.jpg)](https://lndigital.es/dkim-como-activarlo/) ### [DKIM: cómo firmar el correo de tu empresa en Microsoft 365 y Google Workspace](https://lndigital.es/dkim-como-activarlo/) [Leer entrada](https://lndigital.es/dkim-como-activarlo/) [![SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam](https://lndigital.es/wp-content/uploads/2026/10/spf-dkim-dmarc-correo-spam.jpg)](https://lndigital.es/spf-dkim-dmarc-correo-spam/) ### [SPF, DKIM y DMARC: qué son y por qué tus correos acaban en spam](https://lndigital.es/spf-dkim-dmarc-correo-spam/) [Leer entrada](https://lndigital.es/spf-dkim-dmarc-correo-spam/)