DMARC es el registro DNS que decide qué hace un proveedor de correo con los mensajes que intentan pasar por tu despacho sin serlo. Desde 2024, Gmail y Yahoo condicionan la entrega de los envíos a tenerlo publicado, y sin él cualquiera puede escribir un correo con el remitente de tu firma sin que el proveedor detecte nada raro. Esto no es un problema técnico abstracto: una factura falsa, un cambio de cuenta bancaria o una petición urgente de documentación que parece salir de tu despacho son ataques que dependen exactamente de eso, de que tu dominio no esté protegido.
DMARC es un registro DNS que le dice a Gmail, Yahoo y el resto de proveedores de correo qué hacer con un mensaje que falla la verificación de origen: dejarlo pasar, mandarlo a spam o bloquearlo. Sin ese registro, cualquiera puede enviar un correo con el remitente de tu despacho y llegará como si fuera legítimo.
DMARC, la pieza que falta en tu correo
Un despacho de abogados es un objetivo especialmente atractivo para este fraude: sus correos generan urgencia y confianza. Un mensaje que parece venir de la firma pidiendo un giro bancario, un adjunto «de un procedimiento» o documentación de un cliente se abre con menos reticencia que el mismo correo firmado por una empresa cualquiera. INCIBE-CERT señala la suplantación del dominio de correo como uno de los vectores de fraude más frecuentes contra pymes, porque no exige vulnerar nada: basta con que el dominio no tenga publicada una política de autenticación.
El fraude que empieza suplantando el dominio del despacho
Sin DMARC, el campo «De:» de un correo se puede rellenar con cualquier dirección, incluida la de tu despacho, y buena parte de los proveedores de correo lo entregarán igual. El patrón más habitual empieza con un correo que imita el estilo de la firma y pide un cambio de cuenta bancaria en una factura pendiente, o reclama con urgencia un documento a un cliente en mitad de un procedimiento real. La víctima no sospecha porque el remitente visible es correcto: solo la cabecera técnica, que casi nadie mira, delata la suplantación. Si el ataque llega a comprometer una cuenta de correo real del despacho, y no solo a falsificar el remitente, entran en juego las obligaciones del RGPD: hay 72 horas para actuar tras detectar una brecha de seguridad en la web del despacho, y el correo corporativo cuenta como parte de esa superficie.
SPF y DKIM sientan las bases de la autenticación
DMARC no sustituye a SPF ni a DKIM: los usa como base y añade la parte que a ellos les falta, que es qué hacer cuando fallan. SPF publica en el DNS la lista de servidores autorizados a enviar correo en nombre del dominio; DKIM firma cada mensaje con una clave criptográfica que el receptor puede verificar contra otra clave pública, también publicada en el DNS. Ninguno de los dos, por separado, obliga a nada: un mensaje puede fallar SPF y DKIM y seguir entregándose con normalidad si no hay una política DMARC que le diga al proveedor qué hacer con él. El estándar está recogido en el RFC 7489 desde 2015 y no exige licencia ni software propietario, solo tres registros TXT bien escritos.
- SPF: qué servidores pueden enviar correo en nombre del dominio.
- DKIM: firma criptográfica que demuestra que el mensaje no se modificó por el camino.
- DMARC: qué hacer con el correo que no pasa ninguna de las dos comprobaciones, y a quién avisar.
SPF (Sender Policy Framework) es la lista, publicada en el DNS del dominio, de los servidores autorizados a enviar correo en su nombre; cualquier envío que llegue desde fuera de esa lista debería fallar la verificación.
Los requisitos de autenticación que ya exige Gmail
Desde febrero de 2024, Gmail exige SPF y DKIM a cualquier remitente y, además, DMARC a quien envíe 5.000 mensajes o más al día a cuentas personales de Gmail. Yahoo aplicó la misma exigencia en paralelo. La ayuda oficial de Gmail detalla el umbral y las consecuencias: los mensajes que no cumplan se rechazan o se marcan como spam, y desde noviembre de 2025 el filtro se aplica con menos margen que en 2024. Un despacho que no llega a esas 5.000 piezas diarias no está, en sentido estricto, obligado por ese umbral concreto.
Tu despacho no manda miles de correos, pero igual te afecta
El umbral de 5.000 correos diarios habla de remitentes masivos, y un despacho normal no se acerca a esa cifra escribiendo a sus clientes uno a uno. El problema es otro: quien falsifica tu dominio para montar el fraude sí puede superarlo, porque manda la misma factura falsa a cientos de direcciones a la vez. Sin DMARC, esos envíos fraudulentos no tienen nada que los distinga técnicamente de un correo legítimo del despacho, así que ni Gmail los frena ni tu reputación de dominio se resiente por algo que no hiciste. Publicar la política es, en la práctica, decirle a Gmail y Yahoo qué correo es realmente tuyo y cuál no, tengas o no volumen propio de envío.
Cómo activar DMARC en el dominio del despacho
Activar DMARC no requiere tocar el WordPress del despacho ni el correo en sí: se hace desde el panel de DNS del dominio, normalmente el mismo sitio donde está el registro del certificado SSL o de los servidores de correo. El proceso pasa por tres decisiones:
- Confirmar que SPF y DKIM ya están publicados y funcionando: DMARC evalúa el resultado de ambos, así que sin ellos no tiene nada que verificar.
- Publicar un registro TXT en _dmarc.tudominio.es con una política inicial p=none, que solo informa y no bloquea nada mientras se revisan los envíos reales del dominio.
- Añadir una etiqueta rua= con una dirección de correo propia para recibir un informe diario de qué está enviando en nombre del dominio, incluido lo que no debería.
Quien gestiona el hosting o el correo del despacho, a menudo la misma empresa que renueva el certificado SSL o activa el doble factor de autenticación en el WordPress del despacho, puede publicar estos tres registros en minutos. Lo que exige tiempo es lo siguiente: leer los informes antes de endurecer la política, porque un registro mal escrito bloquea también el correo legítimo del propio despacho.
Subir de nivel sin cortar el correo del despacho
Con p=none, DMARC solo observa: nada se bloquea todavía y el registro sirve para ver, con datos reales, qué servidores envían correo en nombre del dominio. El paso siguiente es p=quarantine, que manda a spam lo que no pasa la verificación, y el último es p=reject, que lo rechaza directamente en la puerta de entrada del proveedor. Saltar directo a reject sin haber revisado antes los informes es el error más común: cualquier servicio legítimo que el despacho use y que no esté contemplado en SPF, una plataforma de firma electrónica, un CRM que manda avisos por correo, se queda fuera también.
Qué son los informes rua y para qué sirven
La etiqueta rua de un registro DMARC pide un informe agregado diario, en formato XML, con el resumen de todos los mensajes enviados con el dominio del despacho: cuántos pasaron SPF y DKIM, cuántos fallaron y desde qué servidor se enviaron. Leído sin más se ve poco intuitivo, pero la mayoría de paneles de hosting y varias herramientas gratuitas lo convierten en una tabla legible. Ahí aparece, por ejemplo, un servidor que nadie reconoce enviando cientos de mensajes con el remitente del despacho: la señal más clara de que alguien está usando el dominio para algo que no es cosa del despacho, antes incluso de que llegue una queja de un cliente.
Preguntas frecuentes sobre DMARC
¿Qué pasa si mi despacho no configura DMARC?
El dominio queda sin ninguna protección frente a la suplantación: cualquiera puede enviar correo con tu remitente y ni Gmail ni Yahoo tienen ninguna instrucción publicada sobre qué hacer con ese mensaje, así que suele entregarse con normalidad. Con el tiempo, además, empeora la reputación de entrega del dominio real.
¿Configurar DMARC tiene algún coste?
No. Publicar los tres registros TXT (SPF, DKIM y DMARC) no tiene coste: se hace desde el panel de DNS que ya usa el dominio del despacho. Lo único que puede llevar una cuota es una herramienta comercial para leer los informes rua con más comodidad, pero no hace falta para empezar con p=none.
¿En qué se diferencia DMARC de un certificado SSL?
Resuelven problemas distintos. El certificado SSL cifra la conexión entre el navegador y la web del despacho; DMARC protege el correo que sale del dominio, para que nadie lo use como remitente. Un despacho necesita los dos: uno no sustituye al otro.
¿Cómo sé si alguien está suplantando el dominio de mi despacho?
Con DMARC configurado y la etiqueta rua activa, un informe diario muestra qué servidores envían correo con el dominio del despacho, incluidos los que no deberían. Sin ese registro no hay forma sencilla de saberlo: la suplantación solo se descubre cuando un cliente pregunta por un correo que el despacho nunca mandó.
Fuente: INCIBE-CERT