El 16 de octubre de 2026, dmarcian publicó las conclusiones de una sesión celebrada con la Certified Senders Alliance. Dos personas llevaron la conversación: Matia Boldrini, representante de servicios profesionales de dmarcian, y Steffen Siguda, responsable de seguridad de la información corporativa del grupo ams OSRAM, el fabricante austriaco de sensores y semiconductores. Su tema no fue un ataque nuevo ni una función nueva del protocolo. Fue la pregunta que decide la mayoría de los proyectos DMARC en la práctica: ¿por qué tantas organizaciones publican un registro DMARC y luego nunca llegan a la aplicación?
La brecha de aplicación no es una brecha tecnológica
El punto de partida que compartieron es claro. Muchas empresas europeas publican registros DMARC, pero pocas han alcanzado la aplicación total. La razón rara vez es la sintaxis DNS ni el protocolo en sí. Los obstáculos son las personas y los procesos: una brecha entre los equipos técnicos, de marketing y de dirección, y la dificultad de mapear la sombra informática y los remitentes externos.
Quien haya dirigido un despliegue de DMARC reconocerá el patrón. Los informes agregados revelan una fuente de envío que nadie en TI conoce, tal vez un complemento del CRM, una herramienta de soporte o una vieja plataforma de boletines. Localizar al responsable significa tocar puertas en departamentos que no tienen motivo alguno para priorizar su solicitud de cambio. Multiplique eso por decenas de fuentes y un catálogo amplio de dominios, y el proyecto se estanca en p=none durante años.
Cómo abordó ams OSRAM el despliegue
La sesión describió cómo un despliegue estructurado supera ese muro. El equipo empezó bloqueando los dominios que nunca envían correo, lo que elimina ruido de los informes y cierra de un solo golpe la ruta de suplantación más barata. Se usó una plataforma DMARC para monitorear los dominios de forma continua en lugar de auditorías puntuales. Y algo decisivo: se consiguió un mandato ejecutivo para que la cooperación entre departamentos no dependiera de la buena voluntad.
El consejo del propio Siguda es empezar ya, atacando los dominios que nunca envían correo. El de Boldrini, documentarlo todo y nunca publicar DMARC sin una dirección de reportes. Ambas son disciplinas de proceso, no trucos de protocolo.
El orden de pasos que recomiendan
Con base en los consejos compartidos en la sesión, dmarcian planteó una secuencia práctica:
- Bloquear todos los dominios que no envían correo con una política p=reject.
- Activar DKIM para todas las fuentes de correo.
- Publicar DMARC en p=none con una dirección de reportes que alguien vigile.
- Mapear cada remitente a un responsable y a un propósito de negocio.
- Conseguir un mandato de cooperación antes de enviar la primera solicitud de cambio.
- Pasar a p=reject y mantener un responsable después.
El último punto merece énfasis. Un proyecto DMARC no termina cuando la política llega a reject. Se conectan herramientas nuevas, se adquieren dominios, rotan los proveedores de marketing. Sin un responsable permanente que lea los informes, la aplicación se degrada silenciosamente a medida que reaparecen fuentes sin autenticar.
Por qué la aplicación se paga sola
El beneficio descrito en la sesión llega a tres públicos a la vez. Alcanzar la aplicación con una política p=reject mejora la entregabilidad del marketing, porque el correo autenticado y alineado es justo lo que los proveedores de buzón premian. Da claridad a la gestión de activos de TI, porque los datos DMARC terminan siendo un inventario preciso de todo lo que envía como sus dominios. Y reduce de forma significativa el riesgo de ciberseguridad al detener la suplantación de dominios.
También hay un efecto colectivo que vale la pena señalar. Cuantas más organizaciones publiquen y apliquen SPF, DKIM y DMARC, más fácil será para los receptores de todo el mundo distinguir el correo real del falso. La autenticación es uno de los pocos controles de seguridad que se fortalece cuanta más gente lo adopta.
Pasar de un registro publicado a p=reject es sobre todo cuestión de visibilidad y de propiedad: conocer cada fuente que envía como su dominio y tener a alguien responsable de los datos. Excello Mail le da esa vista en vivo de sus señales DMARC, SPF y DKIM para mapear, corregir y aplicar sin adivinaciones. Regístrese gratis en Excello Mail y convierta la aplicación en un plan y no en un deseo.