DMARC dejó de ser opcional en febrero de 2024
En octubre de 2023, Gmail y Yahoo anunciaron requisitos nuevos para senders bulk. Con efecto desde febrero de 2024, los senders de más de 5,000 correos al día a cualquiera de los dos proveedores deben publicar DMARC al menos en p=none, con autenticación alineada SPF o DKIM. El incumplimiento ya no significa peor placement en bandeja de entrada. Significa rechazo directo del correo a escala.
Microsoft ha ido apretando progresivamente durante 2025. El tratamiento de privacidad del pixel de tracking en Apple Mail ha empujado indirectamente a los senders hacia señales de autenticación más verificables. La dirección del viaje es inequívoca: cada dominio que envía correo a cualquier volumen significativo necesita ser DMARC-compliant, y el listón va a seguir subiendo.
Para la mayoría de organizaciones, la implementación DMARC es más difícil de lo que parece por una razón específica: expone cada sender que usa su dominio, y la mayoría de organizaciones tienen más senders de los que creen. Plataformas de marketing, sistemas CRM, herramientas de tickets de soporte, proveedores de email transaccional, infraestructura interna de IT, herramientas de contratistas, a veces automatización de marketing tipo shadow-IT que nadie rastrea centralmente. DMARC en p=reject sin haber mapeado primero todo eso es un incidente de entrega casi garantizado.
Qué hace nuestro servicio administrado de verdad
- Auditoría de la configuración SPF y DKIM existente
- Identificación de gaps obvios de autenticación (DKIM roto, SPF sobre 10 lookups, etc.)
- Publicación del registro DMARC TXT en p=none con direcciones de reporte apuntando a nuestro endpoint de ingesta
- Configuración de la política de subdominios (sp=none) e intervalo de reporte
- Verificación de propagación DNS y llegada de los primeros reportes
- Ingesta diaria de reportes agregados RUA DMARC desde todos los proveedores de buzón que reportan
- Ingesta opcional de reportes forenses RUF (planes Standard y Premium)
- Identificación de sender: cada IP fuente única / dominio firmante identificado por servicio
- Remediación de autenticación: añadir al SPF, configurar firma DKIM en cada fuente legítima
- Reporte semanal de status mostrando porcentaje de correo autenticando correctamente
- Identificación de intentos de abuso no autorizados (típicamente presentes en cualquier dominio con reconocimiento de marca)
- Movimiento a p=quarantine con pct=10, luego pct=50, luego pct=100 a lo largo de 2-3 semanas
- Monitoreo de senders legítimos recién descubiertos que aparezcan durante el enforcement
- Progresión final a p=reject cuando la cobertura de autenticación esté completa
- Política de subdominios (sp=reject) endurecida en paralelo
- Documentación del estado final para fines de auditoría
- Ingesta y revisión continua de reportes
- Detección de senders nuevos: detecta plataformas de marketing nuevas o adiciones de CRM antes de que rompan la alineación
- Monitoreo de patrones de abuso: picos en intentos de autenticación no autorizados
- Reunión mensual de revisión con su equipo (planes Standard y Premium)
- Roadmap de implementación BIMI (plan Premium) una vez establecido el enforcement
Precios
Tres planes más custom. Todos incluyen el trabajo de implementación, no solo el monitoreo. El coste recurrente es por el mantenimiento continuo, que es la parte que protege la implementación de regresar.
1 dominio
- Dominio único
- Reportes agregados (RUA)
- Reunión de revisión trimestral
- Soporte por email
- p=none → p=reject en 6-10 semanas
Hasta 3 dominios
- Hasta 3 dominios
- Reportes agregados + forenses (RUF)
- Reunión de revisión mensual
- Soporte prioritario por email y chat
- Gestión de política de subdominios
- Integración Slack para alertas (opcional)
Hasta 10 dominios
- Hasta 10 dominios
- Procesamiento completo de reportes
- Roadmap de implementación BIMI
- Technical Account Manager dedicado
- Check-ins quincenales
- Soporte por teléfono y video
- Ruteo de alertas custom
10+ dominios
- Dominios ilimitados
- Integración SIEM
- SLA custom
- Compatible con tier UE soberano
- Acceso API para tooling interno
- Reportes ejecutivos trimestrales
Precios por mes, facturados trimestralmente. El prepago anual recibe 10% de descuento. Setup incluido — sin tarifa de implementación separada. Cancelación con 30 días de aviso; sin contrato mínimo.
Qué recibe cada mes
- Resumen de postura DMARC. Política actual, porcentaje de correo autenticando, top 5 fuentes por volumen, cualquier sender nuevo detectado.
- Reporte de abuso y envío no autorizado. Qué fuentes no autorizadas intentaron enviar como su dominio en los últimos 30 días.
- Acciones recomendadas. Si algo cambió (sender nuevo a autenticar, patrón de abuso a investigar, cambio de comportamiento de un ISP), el siguiente paso priorizado.
- Reunión de revisión (Standard, Premium, Enterprise). 30 minutos para repasar el reporte con nuestro analista y resolver preguntas.
Cuándo el DMARC self-managed tiene sentido
Si su organización tiene una sola fuente de envío (un proveedor transaccional, sin tooling de marketing, sin shadow-IT), el DIY DMARC es razonable. Configura SPF, firma con DKIM, publica DMARC en p=none, monitorea reportes durante dos meses, progresa a p=reject. El trabajo es directo a ese nivel de complejidad.
Si su organización tiene 3+ fuentes de envío, herramientas de contratistas, o cualquier historial de adquisiciones que haya traído senders adicionales, el DMARC self-managed es más difícil de lo que parece. Los reportes en sí no son difíciles de leer; la gestión de proyecto de llevar cada fuente legítima a alineación sin romper nada es donde se consume el tiempo. El servicio administrado existe porque ese trabajo es más eficiente cuando se concentra, no porque la tecnología subyacente sea complicada.
Empiece con un check DMARC gratis
Díganos su dominio. Verificamos su postura actual de DMARC, SPF y DKIM, y le enviamos un reporte de 1 página con los gaps. Sin compromiso. Si identificamos un encaje útil de servicio se lo mencionamos; si no, ya tiene el reporte.
Solicitar check DMARC gratis