Ejemplos de registro DMARC: 10 registros TXT listos para usar
Ejemplos de registro DMARC listos para copiar en tu DNS: monitorización, quarantine, reject, subdominios, dominios aparcados e informes externos, con cada etiqueta explicada según el RFC 9989 y cómo consultar el registro.
Introducción
Un registro DMARC es una sola línea de texto, pero una etiqueta mal escrita, un mailto: que falta o un registro en el nombre equivocado hacen que los receptores lo ignoren por completo. La forma más rápida de acertar es partir de un ejemplo que funciona.
Aquí tienes ejemplos de registro DMARC para los casos más habituales, la explicación de cada etiqueta que usan y cómo consultar el registro DMARC en el DNS para comprobar qué publicas. Las etiquetas siguen el RFC 9989 (mayo de 2026), que sustituye al RFC 7489.
Si DMARC es nuevo para ti, Qué es DMARC: guía sencilla explica antes los conceptos.
Dónde va el registro TXT de DMARC
Un registro DMARC es un registro TXT publicado en _dmarc bajo tu dominio:
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:informes-dmarc@example.com"En un panel de DNS suele quedar así:
| Campo | Valor |
|---|---|
| Tipo | TXT |
| Nombre / Host | _dmarc |
| Valor | v=DMARC1; p=none; rua=mailto:informes-dmarc@example.com |
| TTL | El de por defecto (una hora vale) |
La mayoría de los paneles añaden tu dominio al nombre. Si escribes _dmarc.example.com, puedes acabar con _dmarc.example.com.example.com, que ningún receptor encontrará nunca. Tienes instrucciones paso a paso para cada proveedor en las guías de proveedores de DNS.
Las etiquetas de DMARC
| Etiqueta | Ejemplo | Significado | Por defecto |
|---|---|---|---|
v |
v=DMARC1 |
Versión. Va la primera | Obligatoria |
p |
p=none |
Política del dominio: none, quarantine o reject |
Ponla siempre |
sp |
sp=quarantine |
Política de los subdominios | La de p |
np |
np=reject |
Política de los subdominios que no existen en el DNS | La de sp |
rua |
rua=mailto:dmarc@example.com |
Dónde enviar los informes agregados | Sin informes |
ruf |
ruf=mailto:dmarc@example.com |
Dónde enviar los informes de fallo | Sin informes |
adkim |
adkim=s |
Alineación DKIM: r relajada, s estricta |
r |
aspf |
aspf=s |
Alineación SPF: r relajada, s estricta |
r |
fo |
fo=1 |
Cuándo enviar informes de fallo | 0 |
t |
t=y |
Modo de prueba: aplica un nivel de política menos | n |
psd |
psd=n |
Indicador de dominio de sufijo público; solo para registros de dominios | No la pongas |
Las etiquetas que van después de v pueden ir en cualquier orden, separadas por punto y coma. El RFC 9989 eliminó pct, rf y ri, y los receptores que lo implementan las ignoran.
Las políticas en sí, y lo que hace cada una con el correo que falla, están en Políticas DMARC explicadas.
Ejemplos de registro DMARC
Sustituye example.com y las direcciones de informes por las tuyas.
1. Solo monitorización (el punto de partida de todos)
v=DMARC1; p=none; rua=mailto:informes-dmarc@example.comNo se bloquea ningún correo. Los receptores envían informes agregados diarios, con los que localizas todos los servicios que envían como tu dominio antes de aplicar nada.
2. Monitorización con informes a un servicio externo
v=DMARC1; p=none; rua=mailto:informes-dmarc@example.com,mailto:reports@reports.example.netVarias direcciones se separan con comas. Cuando la dirección de informes está en otro dominio, ese dominio tiene que autorizarlo o los receptores no enviarán nada:
example.com._report._dmarc.reports.example.net. TXT "v=DMARC1"Los servicios de informes DMARC publican este registro por ti; solo lo necesitas si gestionas tú el buzón que recibe los informes.
3. Quarantine
v=DMARC1; p=quarantine; rua=mailto:informes-dmarc@example.comEl correo que falla DMARC va a spam o a correo no deseado. Pasa aquí cuando los informes muestren que tus remitentes legítimos pasan.
4. Reject
v=DMARC1; p=reject; rua=mailto:informes-dmarc@example.comEl correo que falla DMARC se rechaza. Es la configuración que impide suplantar tu dominio.
5. Reject, incluidos los subdominios que no existen
v=DMARC1; p=reject; np=reject; rua=mailto:informes-dmarc@example.comnp cubre nombres como facturas.example.com que no existen en tu DNS y que un atacante podría inventarse. Los receptores que no conocen np la ignoran.
6. Modo de prueba antes de reject
v=DMARC1; p=reject; t=y; rua=mailto:informes-dmarc@example.comLos receptores que implementan el RFC 9989 aplican un nivel menos: p=reject; t=y se trata como quarantine. Los que no conocen t aplican reject directamente, así que publícalo solo cuando ya aceptarías p=reject.
7. Política más estricta en el dominio principal que en los subdominios
v=DMARC1; p=reject; sp=quarantine; rua=mailto:informes-dmarc@example.comÚtil mientras arreglas un subdominio que usa una plataforma de marketing. Un subdominio también puede publicar su propio registro, que tiene prioridad:
_dmarc.news.example.com. TXT "v=DMARC1; p=none; rua=mailto:informes-dmarc@example.com"8. Alineación estricta
v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:informes-dmarc@example.comCon alineación estricta, mail.example.com deja de estar alineado con example.com: los dominios tienen que coincidir exactamente. La mayoría de los dominios no lo necesitan, y rompe los servicios que firman o gestionan rebotes con un subdominio. Usa la relajada salvo que tengas un motivo concreto.
9. Con informes de fallo
v=DMARC1; p=quarantine; rua=mailto:informes-dmarc@example.com; ruf=mailto:fallos-dmarc@example.com; fo=1fo=1 pide un informe de fallo cuando falla SPF o DKIM, no solo cuando fallan los dos. Muchos receptores grandes no envían informes de fallo por privacidad, así que no dependas de ellos; lo que cuenta son los informes agregados.
10. Un dominio que nunca envía correo
v=DMARC1; p=reject;Acompáñalo de v=spf1 -all en el dominio. Cualquier correo que diga venir de él es falso y debe rechazarse. Añade una dirección rua si quieres ver quién lo intenta.
Cómo consultar el registro DMARC
Consulta directamente el nombre _dmarc:
dig +short TXT _dmarc.example.comEn Windows:
nslookup -type=TXT _dmarc.example.comDebe devolver exactamente una cadena que empiece por v=DMARC1. Si no devuelve nada, el registro no existe o está en un nombre equivocado; Registro DMARC no encontrado repasa las causas.
El verificador de DMARC hace la consulta y valida cada etiqueta, así que detecta también errores que dig no señala.
Errores habituales en el registro DMARC
| Error | Ejemplo | Solución |
|---|---|---|
| La versión no va la primera | p=none; v=DMARC1 |
Empieza por v=DMARC1 |
Falta mailto: |
rua=dmarc@example.com |
rua=mailto:dmarc@example.com |
| Comas en vez de punto y coma entre etiquetas | v=DMARC1, p=none |
Las etiquetas se separan con ; |
| Dos registros DMARC | Dos registros TXT en _dmarc |
Deja uno; con dos, los receptores no aplican ninguna política |
| Registro en el propio dominio | TXT en example.com |
Tiene que ir en _dmarc.example.com |
p=reject sin informes |
v=DMARC1; p=reject en un dominio activo |
Añade rua y confirma antes tus remitentes |
| Comillas tipográficas copiadas | “v=DMARC1; ...” |
Texto plano |
| Etiquetas antiguas | pct=50; ri=3600 |
Quítalas; para pruebas usa t=y |
Qué ejemplo elegir
- Empiezas ahora: el ejemplo 1, y lee los informes durante unas semanas
- Todos tus remitentes legítimos pasan: el ejemplo 3 y después el 5
- Dudas con el último paso: el ejemplo 6 durante un periodo corto
- Dominio aparcado o solo con web: el ejemplo 10, hoy mismo
El plan para pasar de p=none a p=reject explica qué deben mostrar los informes antes de cada paso.
Siguientes pasos
- Comprueba tu registro actual: Verificador de DMARC →
- Crea un registro sin escribir las etiquetas a mano: Generador de DMARC →
- Revisa SPF, DKIM y DMARC a la vez: Puntuación del dominio →
- Lee los informes que pide tu registro: Empieza gratis → — DMARC Examiner recibe tus informes agregados y muestra la tasa de aprobación por origen de envío, para que sepas cuándo es seguro pasar a quarantine o reject.
Artículos relacionados:
¿Listo para mejorar la entregabilidad de tus emails?
Empieza a monitorizar tus reportes DMARC y obtén información sobre tu configuración de autenticación.
Comenzar Prueba GratuitaArtículos Relacionados
getting startedPolíticas DMARC explicadas: None vs Quarantine vs Reject
Entiende p=none, p=quarantine y p=reject, y conoce los criterios medibles para pasar de una a otra: los que dan tus informes DMARC, no el calendario.
getting startedRegistro SPF: sintaxis explicada con ejemplos
Referencia completa de la sintaxis de SPF (Sender Policy Framework): cada mecanismo, calificador y modificador, cómo evalúa el receptor el registro TXT y ejemplos de registro SPF listos para copiar.
getting startedQué es un registro DKIM: formato, ejemplos y cómo verificarlo
Un registro DKIM es un registro TXT de DNS que publica la clave pública con la que los receptores verifican la firma de tus correos. Aprende su formato, cada etiqueta, ejemplos reales y cómo verificar tu registro DKIM.