[{"data":1,"prerenderedAt":219},["ShallowReactive",2],{"seo-verification":3,"blog-dmarc-p-reject-dominios-de-clientes-agencia-por-fases-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-dmarc-p-reject-dominios-de-clientes-agencia-por-fases-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":26,"featuredImage":28,"bgImage":29,"posterImage":30,"relatedSolution":28,"intro":31,"sections":32,"ctaTitle":165,"ctaBody":166,"ctaButton":167,"ctaUrl":168,"relatedPosts":169},526,"dmarc-p-reject-dominios-de-clientes-agencia-por-fases",{"fr":12,"en":13,"ar":14,"es":10},"dmarc-passer-p-reject-domaines-clients-agence","dmarc-p-reject-client-domains-agency-staged-rollout","dmarc-p-reject-نطاقات-العملاء-للوكالات-على-مراحل","Pasar los dominios de clientes a DMARC p=reject por fases","Lleve cada dominio de cliente de p=none a p=reject sin perder correo: inventario de remitentes con rua, alineación, subdominios, calendario y mensaje al cliente.",11,0,false,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":24},"Correo profesional","emails","bg-cyan-500\u002F10 text-cyan-400",[27],{"id":17,"name":23,"slug":24,"color":25,"icon":24},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fdmarc-passer-p-reject-domaines-clients-agence-poster.svg","Una agencia que gestiona veinte dominios de clientes no puede dejarlos indefinidamente en p=none, ni pasarlos todos a p=reject un viernes por la noche. Cada cliente tiene sus propias herramientas de envío (boletín, facturación, CRM, soporte), y el primer presupuesto rechazado se atribuirá a quien tocó el DNS. Esta guía propone un método repetible por dominio: publicar informes, inventariar los remitentes, corregir la alineación, pasar por quarantine y después reject. Da los registros de cada fase, un calendario, los flujos que se rompen igualmente y el mensaje para el cliente, de modo que el riesgo residual se diga antes.",[33,37,40,51,54,86,111,114,117,121,124,151,154,162],{"type":34,"title":35,"body":36},"h2","Por qué una cartera de clientes no pasa a reject de un solo golpe","Un dominio único se gestiona a ojo. Una cartera no: cada cliente tiene herramientas que la agencia no siempre conoce por completo. El detonante suele ser externo. Desde el 1 de febrero de 2024, Gmail pide SPF, DKIM y DMARC a los remitentes de más de 5 000 mensajes al día, Yahoo fija una exigencia parecida y Outlook.com aplica reglas comparables a los grandes volúmenes. Tanto en Gmail como en Yahoo el mínimo es un DMARC publicado con p=none: esas exigencias no le piden pasar a reject. Lo que empuja a hacerlo es la suplantación: un cliente cuyo nombre sirve para enviar facturas falsas, o cuyas facturas reales acaban en spam.\n\nEl riesgo es simétrico. Un reject puesto demasiado pronto rechaza correo legítimo, y es a usted a quien llamará el cliente. La norma DMARCbis (RFC 9989, publicada en mayo de 2026, que sustituye a RFC 7489) recomienda una progresión: p=none al menos un mes y después p=quarantine durante un tiempo similar, comparando los resultados. Las tres políticas se definen en nuestra guía sobre \u003Ca href=\"\u002Fblog\u002Fdmarc-p-quarantine-email-delivrabilite\">DMARC p=quarantine\u003C\u002Fa>, y lo que cambia con la nueva norma está en \u003Ca href=\"\u002Fblog\u002Fdmarcbis-rfc-9989-ce-qui-change-email-2026\">DMARCbis\u003C\u002Fa>. Aquí tratamos el trabajo propio de una cartera: inventario, calendario, comunicación.",{"type":34,"title":38,"body":39},"Publicar p=none con una dirección de informes, cliente por cliente","Para cada dominio, la primera escritura es un registro TXT en `_dmarc.your-domain.com`: `v=DMARC1; p=none; rua=mailto:dmarc@your-domain.com`. El p=none no cambia nada en la entrega; pide a los receptores que le envíen informes agregados, un archivo XML comprimido por receptor y por día. Si centraliza los informes de todos sus clientes en una dirección de la agencia, por ejemplo `reports@agency-example.com`, el dominio de esa dirección difiere del del cliente, y el receptor debe comprobar su consentimiento. La norma de informes (RFC 9990) prevé para ello un registro TXT en `client-example.com._report._dmarc.agency-example.com`, que contenga al menos `v=DMARC1`. Sin él, el receptor ignora la dirección y usted no recibe nada. Un registro genérico `*._report._dmarc.agency-example.com` autoriza todos los dominios de una vez.\n\nCentralizar da una vista de conjunto, pero mezcla a los clientes en el mismo buzón. Una dirección por cliente, o una clasificación por el dominio del campo `header_from`, evita leer los informes de un cliente buscando los de otro.",{"type":41,"title":42,"items":43},"ul","Leer una línea de informe: los campos que cuentan",[44,45,46,47,48,49,50],"**source_ip** — la dirección que entregó el mensaje; una búsqueda inversa o la cabecera `Received` de un mensaje de prueba revela el proveedor.","**count** — el número de mensajes de la línea; jerarquiza el trabajo, se tratan primero los grandes volúmenes.","**disposition** — lo que aplicó el receptor: `none`, `quarantine` o `reject`. Con p=none todo vale `none`; la columna se vuelve útil en las fases siguientes.","**dkim** y **spf** — el resultado evaluado para DMARC, es decir, con alineación. Un DKIM válido pero no alineado aparece como `fail`.","**header_from** — el dominio visible en el campo From, el que DMARC protege.","**envelope_from** — el dominio del sobre (Return-Path) sobre el que se alinea SPF; un dominio de proveedor aquí explica un fallo de SPF.","**Líneas sin propietario** — una IP desconocida con un `count` alto es una herramienta olvidada del cliente o una suplantación: se pregunta al cliente antes de concluir.",{"type":34,"title":52,"body":53},"Alineación: por qué una herramienta que pasa SPF y DKIM falla igualmente","DMARC exige que SPF o DKIM esté alineado con el dominio del campo From. SPF se alinea con el dominio del sobre (Return-Path), no con el From; DKIM se alinea con el dominio `d=` de la firma. Un servicio de boletines que envía con su propio Return-Path y firma con su propio `d=` pasa SPF y DKIM en su lado, y falla DMARC en su cliente, porque ninguno de los dos dominios es el del From. Por defecto la alineación es relaxed (`aspf` y `adkim` valen `r`): basta un subdominio del mismo dominio organizativo. En modo strict (`s`), el dominio debe ser idéntico. Mantenga relaxed salvo necesidad concreta.\n\nLa solución es casi siempre la misma: hacer que la herramienta firme con el dominio del cliente, publicando los registros CNAME de DKIM que da el proveedor. Basta una alineación, así que el Return-Path propio del proveedor es inofensivo si DKIM está alineado. Al añadir un `include:` de SPF, cuente: RFC 7208 limita la evaluación a 10 consultas DNS, y por encima el resultado es un error permanente (permerror).",{"type":55,"title":56,"headers":57,"rows":61},"comparison","Matriz de remitentes de terceros que alinear",[58,59,60],"Remitente","Lo que aporta el proveedor","Lo que publicar en el cliente",[62,66,70,74,78,82],[63,64,65],"Boletín, envío masivo","Clave DKIM y dominio de envío","CNAME de DKIM; se recomienda un subdominio de envío dedicado",[67,68,69],"CRM, automatización de marketing","Firma DKIM a nombre del cliente","CNAME de DKIM; `include:` de SPF solo si el proveedor lo exige",[71,72,73],"Facturación, pago en línea","Envío desde sus servidores","CNAME de DKIM del proveedor; si no, envío desde un subdominio de envío dedicado",[75,76,77],"Helpdesk, tickets","Dirección de envío por validar","CNAME de DKIM y validación del dominio de envío",[79,80,81],"Correo principal","Registros SPF y DKIM documentados","`include:` de SPF y clave DKIM del proveedor de correo",[83,84,85],"Sitio web (formularios, tienda)","Envío por el servidor del sitio o un relé","SMTP autenticado con el dominio del cliente",{"type":87,"title":88,"steps":89},"steps","El calendario tipo de un dominio, fase por fase",[90,93,96,99,102,105,108],{"title":91,"body":92},"Semana 0: publicar p=none","Registre el dominio y publique `v=DMARC1; p=none; rua=mailto:dmarc@your-domain.com`. Compruebe con `dig +short TXT _dmarc.your-domain.com`. Los primeros informes llegan en 24 a 48 horas.",{"title":94,"body":95},"Semanas 1 a 4: observar y revisar cada semana","La norma recomienda al menos un mes de p=none. Cada semana, agrupe las líneas por proveedor y rellene la tabla de seguimiento: remitente, volumen, alineado o no, legítimo o no.",{"title":97,"body":98},"Corregir cada remitente legítimo no alineado","Publique los CNAME de DKIM del proveedor, envíe un mensaje de prueba a un buzón de Gmail y compruebe `dmarc=pass` en la cabecera. Una herramienta abandonada no se corrige: se anota como por rechazar.",{"title":100,"body":101},"Semanas 5 a 8: poner quarantine","Sustituya el registro por `v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:dmarc@your-domain.com`, durante un periodo comparable al de la fase anterior. Los fallos van a spam en lugar de ser rechazados: la columna `disposition` de los informes muestra lo que se perdería.",{"title":103,"body":104},"No contar con pct como red de seguridad","RFC 9989 eliminó la etiqueta `pct`, considerada poco fiable fuera de los valores 0 y 100, y añadió `t=y` para pedir que no se aplique la política. La compatibilidad de Gmail, Yahoo y Microsoft con `t` no está documentada hasta la fecha: no construya una fase sobre ella.",{"title":106,"body":107},"Semanas 9 a 12: pasar a reject","Si quarantine no reveló ningún remitente legítimo fallando, publique `v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:dmarc@your-domain.com`. Avise al cliente la víspera y vigile los informes a diario durante una semana.",{"title":109,"body":110},"Mantener la revisión tras el reject","Cada herramienta nueva que adopta el cliente se convierte en un remitente por alinear. Inclúyalo en el contrato de acompañamiento: toda herramienta de envío nueva se declara antes de ponerse en servicio y se añade a la tabla de seguimiento.",{"type":34,"title":112,"body":113},"Subdominios: sp, np y subdominio de envío dedicado","Un subdominio sin registro propio hereda la política del dominio organizativo. La etiqueta `sp` fija la política de los subdominios existentes, `np` la de los inexistentes; a falta de `np` se recurre a `sp` y después a `p` (RFC 9989, definición de las etiquetas). En un registro publicado en un subdominio, `sp` se ignora. `np` es reciente: un receptor que no la conoce la ignora y aplica `sp`.\n\nEl uso típico son los subdominios falsos. Un estafador que escribe desde `invoice.client-example.com`, un subdominio que no existe, queda detenido por `np=reject` sin riesgo para el correo real, ya que nada legítimo sale de él. Para las herramientas de terceros, prefiera un subdominio de envío dedicado, por ejemplo `news.your-domain.com`: la herramienta queda alineada en relaxed, sus claves y su SPF no saturan el dominio principal, y puede endurecer este sin esperar a ese flujo. Un registro `_dmarc` propio en el subdominio permite incluso un calendario distinto.",{"type":34,"title":115,"body":116},"Los flujos que se rompen: listas de correo, reenvíos, alias","Algunos mensajes legítimos fallan DMARC por construcción, porque un intermediario los retransmite conservando el From original. Una lista que añade un pie invalida la firma DKIM; una redirección invalida SPF, porque la IP que entrega el mensaje ya no es la que el dominio autoriza. La norma lo dice sin rodeos (RFC 9989, sección de interoperabilidad): p=reject puede ser incompatible con estos flujos indirectos, y los dominios cuyos usuarios escriben en listas no deberían publicarlo. ARC (RFC 8617) se cita como intento de solución, pero ningún método se ha extendido ampliamente. La norma pide además a los receptores que no rechacen solo por un p=reject y, sin otro análisis, traten el mensaje como con quarantine: el reject no siempre se aplica al pie de la letra, lo que no es motivo para ignorarlo.\n\nEstos casos se detectan antes de cambiar. Busque en los informes líneas cuya IP pertenezca a un relé de lista o a un servicio de reenvío, con `spf` y `dkim` fallando y un `count` bajo pero regular. Pregunte después al cliente: alias de antiguos alumnos, una asociación, una dirección que redirige a un buzón personal. Para un dominio cuyas direcciones se usan para escribir en listas públicas, quédese en quarantine: es una decisión defendible, que se anota en la tabla de seguimiento.",{"type":118,"title":119,"body":120},"tip","Demostrar el resultado antes de avisar al cliente","Envíe un mensaje de prueba desde cada herramienta a un buzón de Gmail, abra «Mostrar original» y busque la línea `Authentication-Results`: debe contener `dmarc=pass header.from=your-domain.com`. Tras el paso a reject, un rechazo SMTP lleva un código 5.7.x y un texto propio del receptor. Guarde la captura del mensaje de rechazo y la línea correspondiente del informe rua: muestran al cliente que la herramienta defectuosa estaba identificada y señalada, no descubierta después.",{"type":34,"title":122,"body":123},"El mensaje que enviar al cliente antes de cada fase","El cliente no tiene que entender DMARC, pero debe saber qué cambia, cuándo y qué se espera de él. Bastan cuatro frases.\n\nAsunto: protección de su dominio contra la suplantación de correo\n\nHola, estamos reforzando la protección de su dominio your-domain.com contra la suplantación de sus direcciones. A partir del [fecha], los mensajes que se presenten como procedentes de su dominio sin estar autenticados se enviarán a spam y, desde el [fecha siguiente], serán rechazados. Para no perder ningún envío legítimo, ¿puede indicarnos antes del [fecha] todas las herramientas que envían correo en su nombre (boletín, facturación, CRM, soporte, sitio web)? Queda un riesgo para las listas de correo y las redirecciones de direcciones: díganos si usa alguna.\n\nConserve la respuesta en el expediente del cliente: fija quién declaró qué herramientas y en qué fecha.",{"type":55,"title":125,"headers":126,"rows":130},"Tabla de seguimiento de la cartera",[127,128,129],"Dominio","Política actual y próxima fase","Remitentes validados y estado del cliente",[131,135,139,143,147],[132,133,134],"client-a-example.com","p=none, quarantine en S+4","Correo y boletín validados; facturación por confirmar",[136,137,138],"client-b-example.com","p=quarantine, reject en S+8","Cuatro remitentes alineados; ningún fallo legítimo en los informes",[140,141,142],"client-c-example.com","p=reject, revisión semanal","CRM añadido por el cliente, DKIM por publicar",[144,145,146],"client-d-example.com","p=quarantine, sin reject previsto","Direcciones usadas en listas; decisión anotada",[148,149,150],"client-e-example.com","p=none, ninguna fase prevista","Cliente sin respuesta; recordatorio por programar",{"type":34,"title":152,"body":153},"Solución de problemas: cinco fallos frecuentes en una cartera","En una cartera vuelven los mismos cinco incidentes. Aquí están con su causa y el gesto que los resuelve.",{"type":41,"title":155,"items":156},"Síntomas y remedios",[157,158,159,160,161],"**No llega ningún informe** — la dirección `rua` está en un dominio distinto del del cliente y falta el registro de autorización `_report._dmarc`: publíquelo, o el receptor ignora la dirección.","**Una herramienta pasa SPF y DKIM pero falla DMARC** — su Return-Path y su `d=` son los del proveedor: publique los CNAME de DKIM a nombre del cliente para alinear DKIM.","**SPF en permerror** — más de 10 consultas DNS (RFC 7208): elimine los `include:` de herramientas abandonadas o pase la herramienta a un subdominio de envío dedicado.","**Una herramienta nueva es rechazada tras el reject** — el cliente la adoptó sin avisar: vuelva a quarantine mientras alinea la herramienta, en lugar de relajar la alineación.","**El cliente no responde** — permanezca en p=none o quarantine, anote el recordatorio y su fecha en la tabla de seguimiento; un reject sin inventario compromete su responsabilidad.",{"type":34,"title":163,"body":164},"La documentación oficial","RFC 9989, DMARCbis (etiquetas, subdominios, interoperabilidad): https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc9989.html\n\nRFC 9990, informes agregados de DMARC (destinos externos): https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc9990.html\n\nRFC 7208, SPF (límite de 10 consultas DNS): https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc7208.html\n\nRFC 8617, ARC: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc8617.html\n\nRequisitos de Gmail para remitentes masivos: https:\u002F\u002Fsupport.google.com\u002Fa\u002Fanswer\u002F81126\n\nBuenas prácticas de Yahoo para remitentes: https:\u002F\u002Fsenders.yahooinc.com\u002Fbest-practices\u002F\n\nRequisitos de Outlook para grandes volúmenes: https:\u002F\u002Ftechcommunity.microsoft.com\u002Fblog\u002Fmicrosoftdefenderforoffice365blog\u002Fstrengthening-email-ecosystem-outlook%E2%80%99s-new-requirements-for-high%E2%80%90volume-senders\u002F4399730","Los dominios de sus clientes en un solo lugar","Sus clientes, sus dominios y su alojamiento en un mismo espacio: usted gestiona la relación, nosotros mantenemos la infraestructura","Descubrir la oferta para agencias","\u002Fsolutions\u002Fagences",[170,187,203],{"id":171,"slug":172,"slugs":173,"title":177,"excerpt":178,"readTime":179,"views":180,"isPinned":19,"publishedAt":181,"updatedAt":182,"category":183,"categories":184,"featuredImage":28,"bgImage":29,"posterImage":186,"relatedSolution":28},345,"dmarc-p-quarantine-entregabilidad-email",{"fr":174,"en":175,"ar":176,"es":172},"dmarc-p-quarantine-email-delivrabilite","dmarc-p-quarantine-email-deliverability","dmarc-p-quarantine-email-deliverability-ar","DMARC p=quarantine: deje de enviar en modo supervisión","En 2026, Google y Microsoft limitan los dominios en DMARC p=none. Lista de verificación: SPF, DKIM, p=quarantine y List-Unsubscribe one-click para correos profesionales.",9,1,"2026-09-10T00:00:00+00:00","2026-09-10T13:10:45+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":24},[185],{"id":17,"name":23,"slug":24,"color":25,"icon":24},"\u002Fblog\u002Fcovers\u002Fdmarc-p-quarantine-email-delivrabilite-poster.svg",{"id":188,"slug":189,"slugs":190,"title":194,"excerpt":195,"readTime":196,"views":18,"isPinned":19,"publishedAt":197,"updatedAt":198,"category":199,"categories":200,"featuredImage":28,"bgImage":29,"posterImage":202,"relatedSolution":28},463,"dmarcbis-rfc-9989-cambios-correo-electronico-2026",{"fr":191,"en":192,"ar":193,"es":189},"dmarcbis-rfc-9989-ce-qui-change-email-2026","dmarcbis-rfc-9989-email-changes-2026","dmarcbis-rfc-9989-تغييرات-البريد-الإلكتروني-2026","DMARCbis RFC 9989: qué cambia en tu servidor de correo","RFC 9989, 9990 y 9991 reemplazaron RFC 7489 en mayo de 2026. Conoce los tres cambios concretos — etiqueta np, supresión de pct, Tree Walk DNS — y cómo actualizar tus",8,"2026-10-17T00:00:00+00:00","2026-10-18T21:57:56+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":24},[201],{"id":17,"name":23,"slug":24,"color":25,"icon":24},"\u002Fblog\u002Fcovers\u002Fdmarcbis-rfc-9989-ce-qui-change-email-2026-poster.svg",{"id":204,"slug":205,"slugs":206,"title":210,"excerpt":211,"readTime":212,"views":18,"isPinned":19,"publishedAt":213,"updatedAt":214,"category":215,"categories":216,"featuredImage":28,"bgImage":29,"posterImage":218,"relatedSolution":28},199,"spf-dkim-dmarc-superar-el-umbral-de-5000-correos",{"fr":207,"en":208,"ar":209,"es":205},"spf-dkim-dmarc-delivrabilite-emails-pro","spf-dkim-dmarc-passing-the-5000-email-threshold","spf-وdkim-وdmarc-تجاوز-عتبة-5000-رسالة","SPF, DKIM, DMARC: superar el umbral de 5000 correos","Gmail y Outlook rechazan con un error SMTP 550 a los remitentes sin DMARC alineado. Cómo configurar SPF, DKIM y DMARC para superar el umbral.",4,"2026-08-01T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":24},[217],{"id":17,"name":23,"slug":24,"color":25,"icon":24},"\u002Fblog\u002Fcovers\u002Fspf-dkim-dmarc-delivrabilite-emails-pro-poster.svg",1793289344399]