Cuando configuras DMARC, tienes que elegir una política: qué debe hacer el proveedor receptor con los correos que dicen venir de tu dominio pero no superan las comprobaciones. Solo hay tres opciones —`none`, `quarantine` y `reject`—, y entender la diferencia es entender por qué la protección real no se activa de un día para otro, sino por fases.
Los tres niveles
`p=none` — observar. No se toca nada. Los correos que fallan la autenticación se entregan igual, pero tú empiezas a recibir informes de quién está enviando en tu nombre y con qué resultado. Es el nivel de arranque: sirve para *ver*, no para *proteger*. Un dominio en `p=none` sigue siendo suplantable.
`p=quarantine` — apartar. Los correos que fallan van a la carpeta de spam del destinatario. Ya hay protección: los mensajes sospechosos dejan de llegar a la bandeja principal. Pero es una protección intermedia, porque el correo falso todavía existe en algún rincón del buzón.
`p=reject` — rechazar. Los correos que fallan se rechazan directamente: no llegan ni a la bandeja ni al spam. Este es el único nivel que impide de verdad que alguien suplante tu dominio, y es la meta de todo el proceso.
Por qué no se empieza por `reject`
Si `reject` es lo que protege, la tentación es publicarlo ya y olvidarse. Es justo el error que más problemas causa.
El motivo: `p=reject` rechaza *todo* lo que no autentica correctamente, y eso incluye tus propios correos legítimos si alguna de tus fuentes de envío no está bien configurada. Y casi siempre hay más fuentes de las que la empresa cree: el correo corporativo, la herramienta de facturación, la de newsletters, el CRM, la plataforma de firma electrónica, el sistema de tickets… Cada una envía en tu nombre, y cada una tiene que autenticar y alinear correctamente antes de que subas a `reject`.
Si publicas `reject` sin haber revisado todo eso, el resultado es inmediato y doloroso: tus facturas dejan de llegar, tus campañas rebotan, tus avisos automáticos desaparecen. Habrás «protegido» tu dominio a costa de bloquearte a ti mismo.
El camino correcto: subir por escalones
Por eso el despliegue serio va en orden:
1. Empezar en `p=none` y recoger informes durante el tiempo necesario para ver *toda* la realidad de tu dominio: qué fuentes legítimas envían en tu nombre y cuáles fallan la autenticación.
2. Corregir cada fuente legítima hasta que autentique y alinee bien.
3. Subir a `p=quarantine` cuando los datos confirman que las fuentes legítimas ya pasan, y vigilar que nada legítimo cae.
4. Subir a `p=reject` solo cuando todo está limpio y estable.
En una organización mediana, este recorrido suele llevar de 6 a 10 semanas, dependiendo de cuántas fuentes haya que identificar y ajustar. No es lentitud: es la garantía de que llegas a la protección total sin romper nada por el camino.
`p=none` no es un destino
Un aviso frecuente: muchas empresas publican `p=none` para «cumplir con DMARC», marcan la casilla y se quedan ahí para siempre. Es un error. `p=none` no protege de la suplantación; solo observa. Y los grandes proveedores miran cada vez con más recelo a los dominios que llevan años estancados en `none` sin avanzar. Quedarse en el primer escalón es como instalar una alarma y no activarla nunca.
Llegar a `reject` sin sustos
El objetivo es claro —`p=reject`— y el método también: por fases, con datos, sin bloquear tus envíos. Esa gestión del recorrido, sabiendo cuándo es seguro subir cada escalón, es buena parte de lo que hacemos en Reliant.
Si quieres saber en qué escalón está tu dominio hoy y qué falta para llegar arriba, pide tu diagnóstico gratuito.