Cualquiera puede poner cualquier dominio en el campo From de un correo. Tres registros DNS deciden si el servidor receptor lo cree. El 10 de octubre de 2026, una auditoría independiente publicada en DEV Community consultó el DNS de correo de las 1,000 páginas más visitadas de la lista Tranco y registró lo que realmente publican: sus registros SPF, DMARC, BIMI y MTA-STS, además de los servidores detrás de sus registros MX. El resultado es una instantánea verificable y poco habitual de cómo gestionan la autenticación los dominios más reconocidos del mundo, y de la distancia entre publicar un registro y aplicarlo de verdad.
Las cifras principales
De los 1,000 dominios, el 84.5% publica un registro DMARC, pero solo el 69.4% lo aplica con cuarentena o rechazo para todo el correo, y el 47.4% rechaza directamente el correo falsificado. El reparto de políticas fue de 474 dominios en rechazo, 235 en cuarentena y 136 en none. Otros 155 dominios no tenían ningún registro DMARC. Pocos fueron prudentes en el despliegue: solo 15 de los 845 registros, un 1.8%, aplicaban su política a menos del 100% del correo.
SPF está cerca de ser universal, con un 89.6% de los dominios, y de ellos el 53.8% termina en un fallo estricto -all mientras que el 40.4% usa el fallo suave ~all. Ninguno de los 1,000 usaba +all, el ajuste que permitiría a cualquier servidor enviar en nombre del dominio.
La popularidad se correlaciona con la protección, pero no mucho
La posición en el ranking importa un poco. De los 100 dominios principales, el 62% rechaza el correo falsificado, frente al 45.8% de los dominios entre los puestos 101 y 1,000. La aplicación fue del 76.0% en el top 100 y del 68.7% en el resto. Dicho de otro modo, incluso entre las páginas más visitadas de internet, más de una de cada cuatro tiene o bien ninguna política DMARC o bien un registro de solo monitoreo que no detiene nada.
Algunos nombres muy grandes siguen en p=none, incluidos samsung.com y yandex.ru, junto con los dominios de correo de consumo de Microsoft: outlook.com, live.com y msn.com. Para dominios de buzón de consumo, una política de solo monitoreo suele ser deliberada, porque las listas de correo y los reenvíos rompen la autenticación y una política estricta devolvería correo real. Un dominio corporativo no tiene esa excusa.
El punto ciego: dominios que no envían correo
El punto más débil que encontró la auditoría está en los dominios que no aceptan correo. De los 875 dominios con registro MX va la mayor parte de la historia. Pero 125 de los 1,000 no tienen registro MX, es decir, nunca reciben correo, y son los más fáciles de olvidar. Un dominio que nunca envía correo también puede ser falsificado, y a los atacantes les gustan precisamente porque nadie los vigila.
El cierre estándar son dos registros: un SPF v=spf1 -all, que significa que ningún servidor puede enviar, más una política DMARC de rechazo. Solo 31 de los 125 dominios sin correo, un 24.8%, tienen ambos. Mientras tanto, 76 de ellos, un 60.8%, no tienen registro DMARC o están en p=none. Si administras dominios estacionados o que no envían, esta es la corrección de seguridad más barata disponible hoy.
BIMI ha despegado, MTA-STS no
La auditoría encontró que el 21.3% de los 1,000 dominios publica un registro BIMI, el estándar que muestra el logotipo en la bandeja de entrada y que exige una política DMARC aplicada, frente a solo un 4.5% de MTA-STS, el estándar que obliga al cifrado del transporte entre servidores. Las marcas avanzan primero hacia lo que los suscriptores ven, mientras la protección de la capa de transporte, invisible para los usuarios, se queda muy atrás.
Quién aloja el correo y quién aplica
De los 875 dominios que aceptan correo, el 37.3% usa Google Workspace y el 17.4% Microsoft 365. Los dominios alojados en Google aplican DMARC con más frecuencia que los de Microsoft, con un 82.2% frente a un 72.4%, mientras que los que están detrás de una pasarela de seguridad como Proofpoint, que filtra el 9.0% de todo el correo entrante de la muestra, son los que más aplican, con un 86.4%. La propia auditoría señala que es una correlación, no una causa: una empresa que compra una pasarela y configura p=reject probablemente tenga de todos modos un equipo dedicado de seguridad de correo.
Quién lee los informes
Los informes agregados de DMARC son donde empieza la aplicación, y el 91.5% de los registros auditados los solicita, con un 63.6% enviándolos a un servicio externo de análisis. Contando cada dominio una vez por proveedor, Valimail recibe informes de 74 dominios, Proofpoint de 71, dmarcian de 55, y una larga lista de otros que incluye a Cloudflare, Red Sift y Postmark. Trece dominios envían sus informes a dhs.gov, el punto de recolección usado por las agencias federales civiles de EE. UU., y once de ellos son agencias como nasa.gov y whitehouse.gov.
Qué significa para tu dominio
Las marcas más grandes de internet publican autenticación en cifras altas, pero casi un tercio todavía no la aplica y aproximadamente una de cada cinco no tiene registro DMARC. En esa brecha vive exactamente la suplantación. Si tu dominio sigue en p=none, estás en la misma situación que un proveedor de buzones de consumo pero sin ninguna de sus excusas. Revisa tus informes agregados, identifica todos los servicios legítimos que envían en tu nombre y pasa tu política a cuarentena y luego a rechazo. Y si tienes dominios que nunca envían correo, ciérralos con la solución de dos registros que tan pocos han aplicado según la auditoría.
La brecha entre publicar DMARC y aplicarlo es donde los atacantes trabajan mejor. Excello Mail convierte tus informes de DMARC, SPF y DKIM en una imagen clara de todo lo que envía en nombre de tus dominios, para que pases del monitoreo a la aplicación con confianza. Regístrate gratis en Excello Mail y cierra tu brecha de autenticación.