Guía de despliegue de DMARC en Microsoft 365: de ninguno a reject sin romper el correo

By Mirko Peters · 2026-10-21

Aprende a desplegar DMARC de forma segura en Microsoft 365, desde la fase de supervisión hasta el rechazo estricto, sin interrumpir la entrega del correo legítimo de tu organización.

Automatically translated with AI from the original post. Read the English original

Desplegar los protocolos de autenticación del correo en un inquilino de Microsoft 365 puede parecer desactivar una bomba si se hace en el orden equivocado. Esta guía de despliegue de DMARC en Microsoft 365, paso a paso, explica a los administradores de TI cómo pasar con seguridad de la supervisión inicial a una directiva de rechazo estricta, sin enviar por accidente al vacío facturas comerciales, campañas de marketing o alertas automatizadas.

Puntos clave

• Despliega siempre la autenticación del correo en el orden correcto: primero SPF, después DKIM y, por último, DMARC.
• Empieza tu directiva DMARC con p=none para supervisar el tráfico y mapear todos los servicios de envío legítimos y no autorizados.
• Evita superar el límite de 10 búsquedas de SPF auditando con cuidado los servicios de terceros, como las plataformas de marketing y los sistemas de mesa de ayuda.
• Haz una transición gradual por la cuarentena y los controles de porcentaje antes de llegar a una directiva de rechazo estricta.
• Configura los informes agregados para que se envíen a un buzón compartido y no a la bandeja de entrada de una persona, para garantizar una visibilidad continua.

La regla de oro del orden de despliegue

Si recuerdas un solo principio durante tu proyecto de endurecimiento de la seguridad, que sea el orden de despliegue. Las organizaciones tienen problemas con frecuencia porque implementan los estándares al revés. Como el sistema de correo se basa en protocolos heredados como SMTP, que se diseñaron para la confianza y no para la verificación, aplicar una directiva de cumplimiento estricta antes de mapear tu infraestructura hará que el correo legítimo falle.

La secuencia correcta crea una red de seguridad en cada fase. Primero debes establecer tu lista de invitados, aplicar tus sellos a prueba de manipulaciones y, solo entonces, introducir al árbitro que lo une todo. Saltarse pasos deja que adivines el estado de tus propios flujos de correo, y adivinar es la forma más rápida de que los destinatarios externos bloqueen los correos de tu empresa.

Paso uno: establecer SPF y los peligros de los límites de búsqueda

Tu primer paso es publicar un registro Sender Policy Framework (SPF) en la raíz de tu dominio. Piénsalo como la lista de invitados en la puerta de un club exclusivo. Indica de forma explícita al mundo qué servidores pueden enviar correos que utilicen tu nombre de dominio.

Al escribir tu registro SPF inicial de Microsoft 365, termínalo con un fallo suave (~all) en lugar de un fallo estricto (-all). Así indicas a los servidores receptores que traten el correo no autorizado con sospecha en lugar de rechazarlo directamente. Este periodo de gracia te da margen para detectar los servicios que puedas haber pasado por alto.

Cómo evitar la trampa de las diez búsquedas

Un error habitual en la gestión de SPF es el límite estricto de 10 búsquedas. Cada vez que un servidor receptor procesa tu registro SPF y encuentra un mecanismo que requiere una consulta DNS independiente, como una plataforma de automatización de marketing de terceros, un sistema de atención al cliente o un proveedor de nóminas, consume una búsqueda de tu presupuesto.

Si tu organización añade demasiados servicios externos, el total de búsquedas superará las diez y toda la evaluación de SPF fallará. Los análisis de millones de dominios revelan que un porcentaje sorprendente de empresas rompe involuntariamente su propia seguridad del correo de esta manera. Audita tus servicios con regularidad para mantener tu huella de SPF ajustada.

Paso dos: activar DKIM en Microsoft 365

Una vez publicada tu lista de invitados, necesitas una forma de garantizar que los mensajes no se manipulen en tránsito. DomainKeys Identified Mail (DKIM) funciona como un sello de cera digital que se estampa en cada mensaje saliente. Incluye una firma criptográfica que abarca el asunto, el cuerpo y la dirección De visible.

Dentro de Microsoft 365, los correos enviados desde tu dominio predeterminado onmicrosoft.com se firman automáticamente. Sin embargo, tu dominio corporativo personalizado permanece sin firmar hasta que configures DKIM explícitamente en el Centro de administración. Para hacerlo correctamente, debes crear ambos selectores (selector1 y selector2) en tu DNS público. Esta configuración con doble selector permite a Microsoft rotar las claves de firma más adelante sin provocar interrupciones del servicio.

Google y otros proveedores importantes recomiendan dejar que SPF y DKIM funcionen correctamente durante al menos 48 horas antes de tocar DMARC. Este período de estabilización garantiza que las comprobaciones básicas sean sólidas antes de que entre en juego el árbitro.

Paso tres: despliegue de DMARC en modo de supervisión

Domain-Based Message Authentication, Reporting, and Conformance (DMARC) actúa como el árbitro. No realiza su propia prueba sobre el contenido del mensaje; en su lugar, analiza los resultados de tus comprobaciones de SPF y DKIM y verifica si coinciden con el nombre de dominio visible en la línea De.

Al publicar por primera vez tu registro TXT de DMARC en _dmarc.yourdomain.com, el parámetro de directiva debe establecerse estrictamente en modo de supervisión: p=none. Leído de izquierda a derecha, este registro indica a los servidores receptores: "Este es un registro DMARC; por ahora, no tomes ninguna medida de cumplimiento si las comprobaciones fallan, y envía los informes agregados a esta dirección de correo electrónico".

Nunca omitas esta fase de supervisión. Los informes agregados diarios (RUA), entregados como archivos XML, revelarán cada servicio que envía correo en nombre de tu dominio, sea legítimo o malicioso. Dirige estos informes a un buzón compartido supervisado en lugar de a la bandeja de entrada de un empleado concreto, para que no se pierdan durante las vacaciones.

Paso cuatro: pasar de cuarentena a rechazo

Cuando tus revisiones semanales muestren que todos los flujos de correo legítimos superan la alineación sin problemas, es momento de apretar las tuercas. El parámetro de directiva de DMARC pasa por tres posturas operativas distintas:

• Ninguna (p=none): La torre de vigilancia. Es puramente observacional y se utiliza para auditar y recopilar datos de informes agregados.
• Cuarentena (p=quarantine): La etiqueta de advertencia. Indica a los servidores receptores que marquen los correos sospechosos o que fallan, normalmente enviándolos directamente a la carpeta de correo no deseado o spam del destinatario.
• Rechazo (p=reject): La puerta cerrada con llave. Indica a los receptores que descarten por completo los mensajes no autenticados o suplantados antes de que lleguen a una bandeja de entrada.

Para que esta transición sea lo más suave posible, utiliza los controles porcentuales de DMARC (pct=). Puedes aplicar cuarentena o rechazo a una pequeña fracción del correo que falla, por ejemplo el 10 %, luego el 25 % y después el 50 %, antes de comprometerte por completo. Este escalado gradual evita interrupciones repentinas del negocio si una herramienta de newsletters no autorizada se te pasa por alto.

Conclusión

Proteger la infraestructura de correo de tu organización frente al compromiso de correo electrónico empresarial (BEC) y la suplantación de dominios requiere paciencia y una estrategia de despliegue metódica. Al establecer SPF, habilitar DKIM y subir con cuidado tu directiva de DMARC desde la observación hasta el rechazo estricto, proteges el nombre de tu empresa y garantizas que tus comunicaciones auténticas siempre lleguen a su destino.

Para profundizar en la mecánica de los protocolos de autenticación de correo electrónico, escucha el episodio completo para obtener perspectivas de expertos, estrategias prácticas de arquitectura y orientación práctica para tu inquilino de Microsoft 365.

Preguntas frecuentes

¿Durante cuánto tiempo debo mantener la directiva de DMARC en none en Microsoft 365?

Google y los expertos en seguridad del correo electrónico recomiendan mantener tu directiva de DMARC en p=none durante al menos una semana. Este plazo te permite capturar informes agregados completos que cubran los flujos de correo empresarial semanales y cíclicos.

¿Por qué necesito habilitar DKIM antes de activar DMARC?

DKIM firma criptográficamente el mensaje y viaja con él, sobreviviendo a los escenarios de reenvío de correo que con frecuencia rompen SPF. Tener SPF y DKIM configurados correctamente garantiza que la alineación de DMARC supere las comprobaciones de forma fiable.

¿Microsoft 365 envía informes forenses de DMARC?

No. Aunque Microsoft 365 enviará los informes agregados (RUA) a la dirección de informes que hayas designado, no generará ni enviará informes forenses (RUF), incluso si los solicitas en tu registro DMARC.

¿Qué ocurre si publico dos registros DMARC para mi dominio personalizado?

Publicar varios registros DMARC hace que los servidores de correo receptores se confundan y no apliquen ninguna directiva, lo que anula por completo tus esfuerzos de seguridad. Asegúrate siempre de que tu dominio tenga exactamente un registro TXT de DMARC.