DMARC checker con correcciones para copiar
Introduce un dominio o una dirección de email. Verás el registro que se aplica y qué hace cada etiqueta según RFC 9989 (mayo de 2026). También verás qué esperan Gmail, Yahoo y Microsoft, y podrás copiar un registro corregido. Gratis, sin registrarte, y no guardamos nada.
Tu dominio
Prueba: salesforce.com, paypal.com
Cómo leer tu resultado
Cuatro partes, primero lo más urgente.
- 1
El veredicto
Cuatro estados posibles: sin registro, supervisión, cuarentena o rechazo, cada uno con su icono y una palabra. La barra muestra cuánto le falta a tu dominio para aplicar la política.
- 2
Qué corregir primero
Primero van los errores que impiden que DMARC funcione, luego las recomendaciones y después los consejos. Cada punto indica su regla y su fuente.
- 3
Gmail, Yahoo y Microsoft
Lo que los tres piden a los remitentes masivos y lo que muestra el DNS de tu dominio. La alineación y la baja con un clic solo se ven en un email enviado, así que el resultado te indica dónde mirar.
- 4
Tu registro mejorado
Tus ajustes válidos, sin las etiquetas obsoletas y con la política que elijas. Copia el resultado en un registro TXT en _dmarc.
¿Qué es DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) indica a los servidores de correo receptores qué hacer con el email que dice venir de tu dominio pero no supera la autenticación: entregarlo, enviarlo a spam o rechazarlo. También les pide que te envíen informes, para que veas quién envía en tu nombre.
- SPF. Enumera los servidores autorizados a enviar en nombre de un dominio. Comprueba el return-path (la dirección que recibe los rebotes), no la dirección From que ven los destinatarios.
- DKIM. Firma cada mensaje. Los receptores comprueban la firma con una clave pública que el dominio firmante publica en su DNS.
- DMARC. Un registro TXT en
_dmarc.yourdomain.com, definido desde mayo de 2026 por RFC 9989 (sustituyó a RFC 7489). Pasa cuando SPF o DKIM pasa para un dominio que coincide con la dirección From.
¿p=none, cuarentena o rechazo?
La política decide qué pasa con el correo que no supera DMARC. Empieza con none y termina con reject.
| Política | Correo que falla | Úsala cuando |
|---|---|---|
| p=none | Se entrega como siempre; recibes informes. | Empiezas o añades una nueva herramienta de envío. |
| p=quarantine | Va a la carpeta de spam. | Los informes muestran que tus propios remitentes superan DMARC. |
| p=reject | El servidor receptor lo rechaza. | Ya solo falla el correo suplantado. |
De p=none a reject sin perder correo
Cinco pasos desde el primer registro hasta reject. El comprobador te dice en cuál estás.
- 1
Publica p=none con una dirección de informes
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Usa un buzón que alguien lea o un servicio de informes DMARC. - 2
Lee los informes durante dos a cuatro semanas
Haz una lista de todos los servicios que envían en tu nombre: herramienta de email, CRM, help desk, facturación. Cada uno debe superar SPF o DKIM para tu dominio.
- 3
Corrige los remitentes
Configura DKIM en cada herramienta (en Account Engagement (Pardot), con el registro DomainKey) o pasa un remitente a un subdominio propio.
- 4
Cuarentena, primero con t=y
Cambia a p=quarantine y añade t=y como red de seguridad mientras vigilas los informes. t=y es nuevo en RFC 9989: suaviza la política un nivel (los receptores tratan reject como quarantine y quarantine como none) y sustituye a pct, que esta RFC eliminó. Después quita t=y.
- 5
Rechazo
Cuando ya solo falle el correo suplantado, configura p=reject. Añade np=reject para que también se rechace el correo de subdominios inexistentes.
Informes DMARC
Sin informes, cada paso hacia reject se da a ciegas.
Los informes agregados (rua) llegan con regularidad, normalmente una vez al día, de receptores como Gmail y Yahoo.
Los informes de fallos (ruf) describen mensajes concretos que fallaron; no todos los receptores los envían. Pueden contener datos personales, como direcciones de email y asuntos, así que envíalos solo a un buzón o servicio con el que tengas un acuerdo de tratamiento de datos (GDPR).
Los informes a otro dominio necesitan la autorización de ese dominio: un registro TXT yourdomain.com._report._dmarc.theirdomain.com con v=DMARC1 (RFC 9990 (se abre en una pestaña nueva), sección 4). Los servicios de informes lo publican en cuanto añades tu dominio a tu cuenta; el comprobador lo verifica para cada dirección.
En un informe agregado
- Qué servidores enviaron correo en nombre de tu dominio
- Cuántos mensajes superaron SPF, DKIM y DMARC
- Nada del contenido de los mensajes: solo recuentos y direcciones de servidores
Reglas de Gmail, Yahoo y Microsoft
Los tres piden a los remitentes masivos un registro DMARC con p=none o una política más estricta. Comprobado el 16 de octubre de 2026.
- 5000Mensajes al día: a partir de ahí Gmail y Microsoft te consideran remitente masivo
- 2 díasPlazo de Yahoo para atender una baja
- 2048Bits: la longitud de clave DKIM que recomienda Google
| Proveedor | Desde | Se aplica a | DMARC | También se exige |
|---|---|---|---|---|
| Gmail | 1 de febrero de 2024; aplicación más estricta desde noviembre de 2025 | Unos 5000 mensajes al día o más a cuentas personales de Gmail | p=none o más estricto; From alineado con SPF o DKIM | SPF y DKIM, baja con un clic, tasa de spam inferior al 0,3 % |
| Yahoo | Febrero de 2024 | Remitentes masivos | p=none o más estricto, con resultado pass; From alineado con SPF o DKIM | SPF y DKIM, baja con un clic atendida en 2 días, tasa de spam inferior al 0,3 % |
| Microsoft Outlook.com | 5 de mayo de 2025 | Más de 5000 mensajes al día a direcciones de Outlook.com, Hotmail y Live | p=none o más estricto; alineado con SPF o DKIM | SPF y DKIM deben pasar |
Errores de DMARC frecuentes
Lo que señalan los comprobadores, qué significa y cómo corregirlo.
- No se encontró ningún registro DMARC. No hay nada en
_dmarc.ni en un dominio padre. Solución: añade un registro TXT en_dmarc:v=DMARC1; p=none; rua=mailto:… - Varios registros DMARC. Dos registros TXT con el mismo nombre empiezan por v=DMARC1. Solución: únelos en uno solo, porque los receptores los descartan todos.
- Registro en el host equivocado. El registro está en el propio dominio. Solución: muévelo al nombre de host
_dmarc. - v=DMARC1 falta o no va primero. La versión falta, está mal escrita o aparece más adelante en el registro. Solución: empieza el registro con
v=DMARC1, en mayúsculas. - Política no válida. Suele faltar un punto y coma:
p=none rua=…se lee como un solo valor. Solución: separa cada etiqueta con punto y coma. - Destino externo no autorizado. El dominio de informes no ha aceptado recibir tus informes. Solución: añade tu dominio en el servicio de informes o pídele el registro
_report._dmarc. - pct por debajo de 100. La RFC 9989 eliminó pct; los receptores antiguos y los nuevos actúan de forma distinta. Solución: borra pct y usa t=y para probar.
- SPF: demasiadas consultas DNS. Más de 10 consultas provocan un error permanente de SPF. Solución: quita los includes de servicios que ya no usas.
Para Pardot y Marketing Cloud Next
Lo que dicen las propias páginas de ayuda de Salesforce sobre DMARC (comprobado el 16 de octubre de 2026).
Account Engagement (Pardot)
Pardot firma con DKIM bajo el selector
200608: el registro DomainKey de Domain Management. Su return-path es un dominio de rebote de Salesforce, así que SPF pasa sin alinearse con tu dominio. Tu resultado DMARC depende de DKIM: comprueba la clave antes de ir más allá de p=none. Pardot añade automáticamente la cabecera List-Unsubscribe de un clic.Marketing Cloud Next
Envía desde un dominio autenticado con ocho registros CNAME de Salesforce; tres de ellos son claves DKIM de 2048 bits con selectores por cuenta (
s1-e360-…). El CNAME de rebote cubre SPF. Salesforce activa el dominio sin DMARC, pero Gmail, Yahoo y Microsoft lo siguen esperando. Usa un subdominio desde el que no envíe ninguna otra plataforma, ni siquiera Pardot.
Lo que una comprobación DNS no te dice
El registro es solo la mitad de la historia. ¿Tu dominio se ha quedado atascado entre p=none y reject? Leemos los informes contigo y arreglamos los remitentes en Pardot o Marketing Cloud Next.
- Si tu correo pasa DMARC o no. La alineación se ve en un mensaje enviado. En Gmail, abre uno de tus emails, elige “Mostrar original” y busca DMARC: PASS.
- Quién suplanta tu dominio. Solo los informes agregados muestran los servidores que envían en tu nombre.
- Tu reputación. La tasa de spam y la reputación en Gmail se ven en Google Postmaster Tools.
- Qué estándar sigue un receptor. Los receptores que aún siguen RFC 7489 pueden aplicar pct y buscar el dominio organizativo con la lista de sufijos públicos (public suffix list). En la mayoría de los dominios el resultado es el mismo.
DMARC checker: preguntas frecuentes
Respuestas breves a lo que más se pregunta sobre los registros DMARC.
¿Cómo compruebo mi registro DMARC?
Introduce tu dominio arriba: el comprobador lee el registro TXT en _dmarc.yourdomain.com y, si no hay ninguno, en sus dominios padre.
En la línea de comandos: dig TXT _dmarc.example.com o nslookup -type=TXT _dmarc.example.com.
¿Basta con p=none?
Para Gmail, Yahoo y Microsoft, sí: p=none cumple su mínimo para remitentes masivos.
Pero no protege tu dominio. El correo suplantado se sigue entregando, así que toma p=none como punto de partida y pasa después a quarantine y reject.
¿Qué es un buen registro DMARC?
Para empezar: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com.
El objetivo: v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com, al que se llega paso a paso cuando los informes muestran que todos los remitentes pasan.
¿Puedo tener más de un registro DMARC?
No. Si un nombre contiene más de un registro que empieza por v=DMARC1, los receptores los descartan todos (RFC 9989, sección 4.10).
Pon todo en un solo registro; si tienes varias direcciones de informes, van en rua, separadas por comas.
¿Cuánto tarda en aplicarse un cambio de DMARC?
Lo que dure el TTL del registro anterior: los resolutores guardan una respuesta hasta que caduca. El comprobador muestra el TTL de tu registro en segundos; vuelve a comprobarlo pasado ese tiempo.
¿DMARC se aplica a los subdominios?
Sí. Un subdominio sin registro propio toma la política de su dominio organizativo: sp si está definido; si no, p.
np, nuevo en RFC 9989, cubre los subdominios que no existen, muy usados por quienes suplantan dominios.
¿Sigue siendo válido pct?
No. RFC 9989 (mayo de 2026) eliminó pct, rf y ri. Los receptores que siguen esta RFC los ignoran; los más antiguos pueden seguir aplicando pct.
Para probar una política más estricta, usa t=y en su lugar.
¿Necesito DKIM para DMARC?
DMARC pasa cuando SPF o DKIM pasan y están alineados, así que en principio basta con uno.
Gmail, Yahoo y Microsoft piden ambos a los remitentes masivos, y con Pardot solo se alinea DKIM, así que configura DKIM.
¿Se guarda el dominio que compruebo?
No. Tu navegador envía los nombres de dominio a nuestro servidor, que consulta un resolutor DNS público. No guardamos nada, no anotamos ningún dominio en los registros y el resolutor nunca ve tu dirección IP.
Más herramientas gratuitas
Hacemos que tu marketing en Salesforce trabaje para ti
Habla con un consultor certificado, no con un vendedor, y sal de la primera llamada sabiendo cuál es tu siguiente paso.