Guía para MSP: cómo hacer una implementación de DMARC segura

Frenar el phishing y mejorar la entregabilidad del correo dependen de una implementación de DMARC correcta, pero pasar de la teoría a la práctica suele traer dolores de cabeza a los equipos de TI.

Esta guía convierte esa complejidad en un manual claro y repetible para MSP. Aprenderás un proceso por fases y basado en evidencias para desplegar la protección en los dominios de tus clientes sin romper el flujo de correo legítimo.

Plan paso a paso para desplegar DMARC en los dominios de tus clientes

Un enfoque estructurado y por fases es lo que hace que una implementación de DMARC sea exitosa y segura.

📌Caso de uso: Ejecuta este plan durante mejoras de seguridad, después de incidentes de phishing o por motivos de cumplimiento. Es el paso imprescindible para dejar de tener solo SPF/DKIM y empezar a aplicar de verdad la seguridad del correo con DMARC.

📌Requisitos previos: Para que el marco funcione, asegúrate de contar con lo siguiente:

• Acceso al DNS de todos los dominios y subdominios.
• Acceso de administrador al sistema de correo principal (por ejemplo, el centro de administración de Microsoft 365 para configurar los flujos de DMARC en Office 365).
• Contactos y credenciales de todos los remitentes externos (marketing, CRM).
• Un buzón o servicio dedicado para recibir los informes agregados de DMARC; esos datos te guiarán en la fase clave de pruebas de correo con DMARC.

Cuando tengas todo esto, sigue los pasos siguientes.

Paso 1: identifica todas las fuentes de envío

Debes localizar cada origen de correo antes de cambiar las políticas para evitar interrupciones.

¿Por qué este paso es crítico?

Saltarse el inventario es la causa principal de una implementación de DMARC fallida. El objetivo es identificar a todos los remitentes legítimos, desde servicios cloud hasta impresoras antiguas, para no bloquearlos más adelante.

1. Crea un inventario de remitentes: para cada dominio, anota:
   • Sistema de correo principal (p. ej., Microsoft 365)
   • Plataformas de marketing/CRM (Mailchimp, Salesforce)
   • Aplicaciones y escáneres internos
   • Cualquier dispositivo o servidor que envíe correo.
2. Registra los datos clave: para cada fuente, anota la dirección «From», el servidor o IP de envío y si admite DKIM.
3. Asigna un responsable: documenta quién gestiona cada servicio para hacer seguimiento.

Así tendrás un inventario completo de remitentes. A continuación, publicarás un registro DMARC temporal para recopilar datos reales de los informes, que validarán y ampliarán tu lista. Esa base de evidencias es el cimiento de todos los pasos posteriores.

Paso 2: alinea SPF y DKIM para aplicar DMARC

DMARC necesita que SPF y DKIM estén bien configurados para cumplir su función.

El concepto fundamental

Para que DMARC evite la suplantación de correo de forma eficaz, tiene que comprobar que el dominio del remitente coincide con los dominios autenticados por SPF o DKIM. Tu objetivo es que todos los remitentes legítimos de tu inventario estén configurados para superar esa comprobación.

Acciones de configuración imprescindibles

• Corrige tu registro SPF: actualiza el registro SPF (TXT) del dominio para incluir todas las fuentes de envío válidas (como include:spf.protection.outlook.com para Microsoft 365). Muy importante: mantén la cadena de consultas DNS por debajo de 10 para evitar fallos.
• Activa DKIM en todas partes: habilita la firma DKIM en el centro de administración de tu correo principal. En cada servicio externo (CRM, herramientas de marketing, etc.), activa la firma DKIM para tu dominio y anota el selector (p. ej., selector1._domainkey). Establece además una rutina de rotación de claves.

Al terminar, todos los correos legítimos estarán correctamente autenticados. Eso crea la base necesaria para empezar a monitorizar con seguridad mediante un registro DMARC, que es el siguiente paso del proceso de implementación de DMARC.

Paso 3: publica DMARC en modo de solo monitorización

Empieza tu configuración de DMARC publicando un registro que recopile datos sin afectar al flujo de correo.

Reúne evidencias sin riesgos

Se empieza en modo de solo monitorización (p=none) para obtener información de los servidores de correo receptores (como Gmail u Outlook.com) sobre quién envía correo en nombre de tu dominio y si supera las comprobaciones de SPF/DKIM. Esas evidencias son imprescindibles antes de aplicar cualquier política.

Acciones de configuración clave

1. Publica el registro DNS: en la zona DNS de tu dominio, crea un nuevo registro TXT con el nombre _dmarc.yourdomain.com. Usa este valor:

• • v=DMARC1: declara la versión de DMARC.
  • p=none: la política es «solo monitorizar»; no se rechaza ni se pone en cuarentena ningún correo.
  • rua=mailto:dmarc@...: la dirección de correo donde se reciben los informes agregados en XML.
  • fo=1: solicita informes de fallo para todos los errores de autenticación, con el máximo detalle.
  • aspf=r & adkim=r: fija el modo de alineación de SPF y DKIM en «relajado», la opción más segura y compatible para un despliegue y una monitorización iniciales.

2. Define la política de subdominios (opcional, pero recomendable): añade sp=none; para aplicar de forma explícita la misma política de solo monitorización a los subdominios y evitar sorpresas.
3. Verifica con una prueba de correo DMARC: envía correos de prueba desde todas tus fuentes clave (Office 365, tu plataforma de marketing, etc.) a una cuenta personal de Gmail o Yahoo. Examina las cabeceras completas del correo; herramientas como el Header Analyzer de MXToolbox te ayudarán. Busca en Authentication-Results que aparezca dmarc=pass.

Tras publicar el registro, haz una prueba de correo DMARC. Envía un correo desde tu dominio y revisa sus cabeceras con herramientas como el Message Header Analyzer de Microsoft (accesible desde el navegador en Windows 11) o MXToolbox. Confirma que ves dmarc=pass en los resultados de autenticación.

Paso 4: analiza los informes y corrige la falta de alineación

Usa los datos de los informes DMARC para corregir de forma sistemática los fallos de autenticación antes de aplicar la política.

Consigue el 100 % de alineación de remitentes

Tu objetivo es resolver todos los fallos de SPF o DKIM detectados en los informes para que todos los correos legítimos queden correctamente alineados. Esa corrección es lo que hace eficaz la seguridad del correo con DMARC y evita interrupciones del negocio.

Acciones clave

1. Procesa los informes: usa una herramienta (como DMARCian o Valimail) para convertir los informes XML en un panel claro que muestre qué fuentes fallan y por qué.
2. Aplica correcciones específicas:
   • Fallos de DKIM: activa o corrige la firma DKIM en el proveedor.
   • Problemas de SPF: añade las IP que falten o aplana tu registro SPF si estás cerca del límite de 10 consultas DNS.
   • Problemas de alineación: asegúrate de que el dominio del campo «From» coincide con el dominio autenticado. Para los servicios problemáticos, asigna un subdominio dedicado (p. ej., marketing.domain.com).

A medida que corrijas cada problema, tu tasa de alineación irá subiendo. Cuando el correo corporativo principal (como Office 365) muestre una alineación casi perfecta, tendrás las evidencias para pasar con seguridad a la aplicación de la política, el último paso de tu implementación de DMARC.

Paso 5: endurece la política de forma gradual y con un plan de reversión

Pasa de la monitorización a la aplicación en etapas controladas para proteger el correo sin interrupciones.

Activa «p=reject» con seguridad

El paso final de tu configuración de DMARC es aplicar una política de rechazo, capaz de evitar la suplantación de correo bloqueando los mensajes fraudulentos. Este enfoque por fases garantiza que no rompas el flujo de correo legítimo.

Plan de acción

1. Empieza con p=quarantine: cambia tu registro DMARC a p=quarantine cuando la alineación supere el 95 % y los remitentes críticos estén corregidos. Así el correo que falle acabará en la carpeta de spam, como última comprobación de seguridad.
2. Avanza a p=reject: después de 2 a 4 semanas sin incidencias, pasa a p=reject. Usa la etiqueta sp= para aplicar políticas más estrictas o más laxas en los subdominios según necesites.
3. Ten siempre un plan de reversión: documenta el cambio y guarda a mano el valor exacto para volver a p=none. Es tu red de seguridad imprescindible.

Aplicar la política de forma gradual permite que el sistema global de correo se adapte y te da una última prueba en condiciones reales. La fase de cuarentena actúa como colchón y detecta las últimas desalineaciones antes del rechazo total.

Paso 6: convierte los informes en un proceso continuo que demuestre resultados

Transforma los datos de DMARC en evidencias claras del éxito de tu seguridad.

Demuestra mejoras medibles

Este paso hace visible el valor de tu implementación de DMARC. Aporta pruebas auditables de que el riesgo de suplantación está bajando y responde con datos a la pregunta clave: «¿Es obligatorio DMARC para la seguridad del correo?».

Acciones de seguimiento imprescindibles

• Vigila las métricas clave: controla los dominios con la política aplicada (p=reject), el porcentaje de mensajes alineados y los intentos desde fuentes no autorizadas.
• Usa los informes forenses con cuidado: limita los informes forenses (ruf) por motivos de privacidad; para los detalles, apóyate en los datos agregados (rua) y en tus herramientas de seguridad actuales.
• Crea un informe mensual de resultados: elabora un panel de una página por cliente con las tendencias de alineación, los dominios protegidos y las tareas pendientes.

Este proceso continuo convierte tu configuración de DMARC en un control de seguridad gestionado. El informe de resultados valida de forma constante las mejoras de protección, demuestra la reducción del riesgo y justifica la inversión.

Escala la gestión de DMARC con NinjaOne

Plataformas como NinjaOne convierten la implementación de DMARC en un servicio gestionado eficiente y basado en evidencias.

Integraciones clave del RMM

• Monitorización: automatiza las comprobaciones de los registros DNS de SPF, DKIM y DMARC. Recibe alertas ante cambios o caducidades para evitar brechas de seguridad.
• Automatización: recopila y procesa los informes agregados de DMARC y adjunta los resúmenes directamente a los tickets del cliente.
• Informes: incorpora métricas críticas, como la tasa de alineación y los dominios con la política aplicada, en los paneles de cliente para las revisiones trimestrales de negocio.

Al integrar estos pasos en tu RMM, la seguridad del correo con DMARC se convierte en un proceso operativo. Deja de ser un proyecto puntual y pasa a ser un servicio continuo que demuestra su valor, lo que permite a tu MSP proteger con eficacia todos los dominios de sus clientes y mostrar los resultados con claridad.

Crea un proceso fiable de implementación de DMARC

Una implementación de DMARC exitosa depende de avanzar con método: primero, inventariar todos los remitentes; después, garantizar la alineación de SPF/DKIM antes de publicar una política de solo monitorización.

Analizando los informes para corregir los fallos y endureciendo la política de forma gradual con un plan de reversión, eliminas el riesgo de suplantación de manera sistemática.

Este enfoque disciplinado y basado en evidencias permite a los MSP proteger de forma fiable cada dominio de cliente y transformar un estándar complejo en un servicio de seguridad repetible que demuestra un valor claro.

Temas relacionados

• Qué son los ataques de suplantación de correo y cómo prevenirlos
• 10 buenas prácticas de seguridad para servidores de correo que debes conocer
• Protege tus comunicaciones: cómo enviar correos cifrados en Outlook y Office ‍365
• Buenas prácticas de seguridad para servidores de correo