DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) es la capa de política sobre SPF y DKIM, definida en la RFC 7489. SPF y DKIM verifican cada uno un sinal distinto; DMARC le indica a los receptores dos cosas: (1) qué hacer cuando ninguno de los sinales "alinea" con el header From: visible (none / quarantine / reject), y (2) a dónde enviar los reportes agregados (RUA) y forensic (RUF). La política se publica como un registro TXT en _dmarc.{domain}.

v=DMARC1; p=none; rua=mailto:dmarc-agg@suempresa.com; pct=100; adkim=r; aspf=r

Tags principales:

• p= — política: none (solo monitorear), quarantine (carpeta de spam), reject (bounce).
• rua= — destino de los reportes agregados (un XML diario por receptor).
• ruf= — reportes forensic / failure (raros; pocos receptores los envían).
• pct= — porcentaje de mensajes con falla a los que se aplica la política (knob de rollout).
• adkim= / aspf= — modo de alineación: r relaxed (coincide a nivel de dominio organizacional) o s strict (coincidencia exacta con From:).

Saltarse p=none es el error más común en DMARC — ir directo a p=reject en un dominio cuyos flujos de mail todavía no entiende plenamente terminará rebotando silenciosamente correo legítimo (forwarders, mailing lists, herramientas de CRM). El rollout estándar es: (1) desplegar p=none con reportes RUA y observar los reportes diarios durante dos a cuatro semanas; (2) arreglar los streams no autenticados que destapen los reportes; (3) escalar por p=quarantine; pct=10 → 50 → 100; (4) finalizar en p=reject; pct=100 una vez que los reportes agregados muestren cero fallas legítimas durante una semana completa.

Tanto Google como Yahoo actualizaron sus políticas de bulk sender en febrero de 2024 para exigir DMARC a todo remitente que supere las 5.000 mensajes por día a sus usuarios (guía de Google). Para operadores autohospedados que usan AcelleMail con Amazon SES a escala, la alineación DMARC dejó de ser opcional — es una precondición para llegar a la bandeja de entrada en los dos mayores proveedores de mailbox.