Consulta y valida el registro TXT de DMARC publicado en _dmarc.<domain> y lee tu política, alineación y etiquetas de informes en lenguaje claro. Es gratis, instantáneo y se ejecuta por completo en tu navegador, sin registro y sin guardar datos.
Crea una cuenta gratuita de Unspam para guardar tus resultados y repetir estas comprobaciones cuando quieras, así detectas una configuración rota antes de que te cueste caro. Sin tarjeta de crédito.
DMARC (Domain-based Message Authentication, Reporting and Conformance) es un registro TXT publicado en el DNS en _dmarc.tudominio.com. Indica a los servidores de correo receptores qué hacer cuando un mensaje que dice provenir de tu dominio no supera la alineación de SPF y DKIM, y adónde enviar los informes sobre esas comprobaciones. DMARC se apoya en SPF y DKIM: un mensaje supera DMARC cuando al menos uno de ellos pasa y el dominio autenticado se alinea con el dominio de la cabecera From visible. Sin DMARC, los atacantes pueden suplantar tu dominio exacto en la dirección From y no tienes visibilidad de quién envía correo en tu nombre. Desde febrero de 2024, Google y Yahoo exigen a los remitentes masivos publicar un registro DMARC, por lo que un registro válido ahora forma parte de la entregabilidad básica, no solo de la seguridad.
La etiqueta de versión. Debe ser exactamente v=DMARC1 y aparecer en primer lugar, o los servidores receptores ignorarán el registro por completo. Es lo que identifica el registro TXT como una política DMARC y no como una cadena cualquiera.
La política de aplicación para tu dominio principal. p=none solo monitoriza y recopila informes, p=quarantine envía a spam el correo que falla y p=reject lo rechaza directamente. Google y Yahoo exigen al menos p=none a los remitentes masivos, pero reject ofrece la mayor protección frente a la suplantación.
sp= define una política independiente para los subdominios (si falta, hereda la de p=) y pct= aplica la política solo a un porcentaje del correo para un despliegue progresivo. Ten en cuenta que pct se eliminó en la última especificación de DMARC (RFC 9989, publicada en 2026), que lo sustituye por un indicador t más sencillo para el modo de prueba, así que las recomendaciones más recientes prefieren pasar directamente a la aplicación total.
rua= es el buzón (por ejemplo mailto:dmarc@yourdomain.com) que recibe los informes agregados diarios con todas las fuentes que envían en nombre de tu dominio. ruf= recibe los informes de fallo por mensaje. Los informes agregados son la forma de pasar de p=none a la aplicación de la política de manera segura.
Definen el rigor de la alineación de SPF y DKIM. El valor por defecto r (relajado) permite que se alineen los subdominios de tu dominio organizativo, mientras que s (estricto) exige una coincidencia exacta. Relajado es la opción por defecto adecuada para la mayoría de remitentes que usan subdominios o servicios de terceros.
La consulta no devuelve nada en _dmarc.yourdomain.com, así que los servidores receptores no aplican ninguna política y tu dominio puede suplantarse libremente. Publica un registro TXT en ese host que empiece por v=DMARC1; p=none; rua=mailto:you@yourdomain.com para empezar a monitorizar sin poner en riesgo la entrega.
p=none solo monitoriza y nunca bloquea el correo suplantado, y aun así muchos dominios lo dejan así durante años. Usa los informes agregados de tu dirección rua= para confirmar que tus remitentes legítimos superan la validación y, a continuación, avanza a p=quarantine y, finalmente, a p=reject para lograr una protección real.
Sin un buzón de informes rua= no tienes ninguna visibilidad sobre quién envía en nombre de tu dominio, lo que hace que aplicar la política sea arriesgado. Añade rua=mailto: apuntando a una bandeja de entrada o a un procesador de informes DMARC que consultes de verdad antes de endurecer la política.
Publicar dos registros TXT en _dmarc, o colocar v= en cualquier posición que no sea la primera, invalida el registro y hace que los receptores lo ignoren. Mantén exactamente un registro, empiézalo con v=DMARC1 y separa cada etiqueta con un punto y coma.
SPF o DKIM pueden pasar aunque el dominio autenticado no coincida con el dominio de tu From, con lo que DMARC sigue fallando. Confirma que SPF usa tu propio dominio en Return-Path o que DKIM firma con un d= que coincida con el dominio de tu From, y revisa aspf/adkim si dependes de subdominios.
