«Proteger el correo» suena a algo que se hace en una tarde. No lo es —al menos si se hace bien—. Llevar un dominio de estar desprotegido a `p=reject`, el nivel que impide de verdad la suplantación, es un proceso que suele llevar entre 6 y 10 semanas y que sigue un método. Aquí te contamos cómo son esas semanas paso a paso, para que sepas qué esperar y por qué la prisa es mala consejera.
Por qué no es inmediato
El motivo es simple: `p=reject` rechaza todo lo que no autentica bien, incluidos tus propios correos si alguna de tus fuentes de envío no está configurada correctamente. Y casi siempre hay más fuentes de las que la empresa cree. Saltar directamente al bloqueo sin haberlas identificado y corregido primero es la receta para dejar de recibir tus propias facturas. El proceso por fases existe precisamente para llegar a la protección total sin ningún corte por el camino.
Semanas 1–2: auditoría y visibilidad
El punto de partida es *ver*. Se publica DMARC en `p=none` —que observa sin bloquear nada— y se empiezan a recoger los reportes que los proveedores de correo generan sobre el dominio.
Durante estas primeras semanas se construye el mapa completo: qué servidores envían en nombre del dominio, cuáles son legítimos, cuáles fallan la autenticación y cuáles no deberían estar ahí. Este inventario suele deparar sorpresas —herramientas olvidadas, servicios contratados por un departamento sin avisar, algún intento de suplantación—. Sin esta foto, cualquier cambio sería a ciegas.
Semanas 3–5: corrección de las fuentes legítimas
Con el mapa en la mano, empieza el trabajo de arreglar. Cada fuente legítima que no autentica bien se corrige una a una: se ajusta el SPF (vigilando el límite de consultas), se configura o se rota el DKIM donde haga falta, se resuelven los problemas de alineación de las herramientas que firman con otro dominio.
Es la fase de más trabajo técnico y la que marca el ritmo: cuantas más fuentes tenga la empresa, más lleva. Cada cambio se hace de forma que no interrumpa el correo que ya está saliendo. Al final de esta fase, las fuentes legítimas ya autentican correctamente.
Semanas 5–7: subida a `p=quarantine`
Cuando los datos confirman que las fuentes legítimas pasan las comprobaciones, se sube la política a `p=quarantine`: los correos que fallan pasan a ir a spam en vez de entregarse. Es el primer nivel de protección real.
Aquí se vigila de cerca. Se observan los reportes para asegurarse de que nada legítimo está cayendo por error. Si aparece una fuente que se había pasado por alto, se corrige antes de seguir subiendo. Es un escalón de confirmación: protege ya, pero deja margen por si algo se escapó.
Semana 8: subida a `p=reject`
Cuando todo está limpio y estable en `quarantine`, se da el último paso: `p=reject`. A partir de aquí, los correos que fallan la autenticación se rechazan directamente. Nadie puede suplantar el dominio. Es la meta del proceso.
Este paso solo se da cuando los datos lo respaldan. Llegar aquí no es cuestión de valentía, sino de haber hecho bien las fases anteriores.
Después: no termina, empieza
Un error común es pensar que al llegar a `reject` el trabajo acaba. En realidad ahí empieza la parte continua. Los proveedores cambian sus IPs, las claves caducan, la empresa contrata herramientas nuevas que hay que autorizar, aparecen intentos de suplantación. Sin vigilancia, un dominio protegido puede volver a romperse en meses. Por eso la protección real incluye la monitorización continua después de llegar a `reject`, no solo el despliegue inicial.
Qué esperar si lo delegas
Contar este proceso tiene un objetivo: que sepas que «protección en 48 horas» es una señal de alarma, no una ventaja. El diagnóstico sí llega en 48 horas; la protección completa lleva su tiempo, y ese tiempo es lo que garantiza que no bloqueas tus propios correos.
En Reliant llevamos tu dominio por este camino de principio a fin, explicándote cada fase antes de darla, y lo vigilamos después para que siga protegido. Empieza por el primer paso: pide tu diagnóstico gratuito y te decimos en qué punto del camino estás hoy.