[{"data":1,"prerenderedAt":189},["ShallowReactive",2],{"seo-verification":3,"blog-dmarcbis-rfc-9989-cambios-correo-electronico-2026-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-dmarcbis-rfc-9989-cambios-correo-electronico-2026-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":29,"intro":32,"sections":33,"ctaTitle":122,"ctaBody":123,"ctaButton":124,"ctaUrl":125,"relatedPosts":126},463,"dmarcbis-rfc-9989-cambios-correo-electronico-2026",{"fr":12,"en":13,"ar":14,"es":10},"dmarcbis-rfc-9989-ce-qui-change-email-2026","dmarcbis-rfc-9989-email-changes-2026","dmarcbis-rfc-9989-تغييرات-البريد-الإلكتروني-2026","DMARCbis RFC 9989: qué cambia en tu servidor de correo","RFC 9989, 9990 y 9991 reemplazaron RFC 7489 en mayo de 2026. Conoce los tres cambios concretos — etiqueta np, supresión de pct, Tree Walk DNS — y cómo actualizar tus",8,0,false,"2026-10-17T00:00:00+00:00","2026-10-18T21:57:56+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},11,"Correo profesional","emails","bg-cyan-500\u002F10 text-cyan-400",[28],{"id":23,"name":24,"slug":25,"color":26,"icon":25},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fdmarcbis-rfc-9989-ce-qui-change-email-2026-poster.svg","En mayo de 2026, la IETF publicó las RFC 9989, 9990 y 9991, conocidas colectivamente como DMARCbis, reemplazando RFC 7489 tras once años de vigencia. Estos documentos forman parte del Standards Track, lo que les otorga plena autoridad IETF. Si administras un VPS con Postfix o Exim, tres cambios concretos afectan tus registros DNS y tu configuración antes de que los grandes operadores MTA comiencen a aplicar las nuevas reglas de forma sistemática.",[34,38,46,49,76,79,82,89,92,119],{"type":35,"title":36,"body":37},"h2","Por qué DMARCbis y por qué ahora","RFC 7489, publicada en 2015 como documento Informational, dejó tres lagunas: la etiqueta `pct` permitía aplicar la política a solo X% de los mensajes, diluyendo la protección y haciendo impredecible el comportamiento de los receptores; la ausencia de una política específica para subdominios inexistentes dejaba un hueco explotable para el phishing; y la dependencia de la Public Suffix List (PSL) para identificar el dominio organizacional generaba inconsistencias entre implementaciones MTA. RFC 9989 (DMARC core), RFC 9990 (informes agregados) y RFC 9991 (informes de fallo) abordan cada uno de estos puntos, elevando el estándar al rango de Proposed Standard.",{"type":39,"items":40},"ul",[41,42,43,44,45],"**RFC 9989 (núcleo DMARCbis)** — hace obsoletas RFC 7489 y RFC 9091; introduce la etiqueta `np`, elimina `pct`, la reemplaza por la etiqueta `t` (modo prueba) y define Tree Walk DNS para identificar el dominio padre sin recurrir a la PSL","**RFC 9990 (informes agregados)** — extrae y moderniza la sección de reporting agregado de RFC 7489; los informes XML comprimidos en GZIP siguen siendo el formato pero la verificación de destinos externos se refuerza","**RFC 9991 (informes de fallo)** — extrae el reporting de fallos; enfatiza los riesgos para la privacidad e impone limitación de velocidad en los generadores para prevenir abusos DoS","**Supresión de `pct`** — cualquier registro DMARC existente con `pct=50` (u otro valor) debe revisarse; los receptores conformes con RFC 9989 pueden ignorar esta etiqueta y aplicar la política al 100% de los mensajes","**Tree Walk DNS** — el receptor sube el árbol DNS mediante consultas sucesivas (máximo 8) para encontrar la política aplicable, eliminando la dependencia de la PSL y mejorando la coherencia entre implementaciones",{"type":35,"title":47,"body":48},"Requisitos previos antes de intervenir","Antes de cualquier modificación, verifica que tu infraestructura cubre lo básico: SPF y DKIM deben estar correctamente configurados en tu dominio emisor — DMARCbis no añade nada a estos mecanismos pero depende enteramente de ellos. Asegúrate también de tener acceso a tus herramientas de auditoría (dig, nslookup, SSH a tu VPS) y a tu zona DNS. Por último, dispón de los informes agregados DMARC actuales (vía `rua`) para establecer una línea de base del tráfico legítimo antes de endurecer la política.",{"type":50,"steps":51},"steps",[52,55,58,61,64,67,70,73],{"title":53,"body":54},"Audita tu registro DMARC actual","Ejecuta `dig TXT _dmarc.example.com` desde tu VPS o terminal. Anota el valor exacto de cada etiqueta: `v`, `p`, `sp`, `pct`, `rua`, `ruf`, `adkim`, `aspf`. Si `pct` aparece con un valor inferior a 100, planifica su eliminación.",{"title":56,"body":57},"Elimina o reemplaza la etiqueta `pct`","En RFC 9989, `pct` está obsoleta. Su función de despliegue progresivo pasa a la etiqueta `t`: `t=y` indica al receptor que trate el mensaje como si la política fuera `p=none`, sin aplicar cuarentena ni rechazo. Para migrar desde `pct=50`, reemplaza por `t=y`, valida durante unas semanas con tus informes agregados y luego retira `t=y`. Ejemplo: `v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com`",{"title":59,"body":60},"Añade la etiqueta `np` para subdominios inexistentes","La etiqueta `np` define la política a aplicar a mensajes que afirman proceder de un subdominio que no existe en tu DNS. Para bloquear el phishing a través de subdominios inventados, añade `np=reject`. Ejemplo completo: `v=DMARC1; p=quarantine; sp=quarantine; np=reject; rua=mailto:dmarc@example.com`",{"title":62,"body":63},"Comprende Tree Walk DNS y publica en los niveles correctos","Con Tree Walk, un receptor que procesa un mensaje de `mail.app.example.com` consulta `_dmarc.mail.app.example.com`, luego `_dmarc.app.example.com`, luego `_dmarc.example.com`, deteniéndose en la primera respuesta válida (máximo 8 consultas DNS). Audita tus zonas DNS para detectar registros `_dmarc.*` no intencionados que puedan anular tu política principal.",{"title":65,"body":66},"Actualiza el registro DNS final","Una vez revisadas las etiquetas, publica el registro actualizado. Ejemplo completo para un dominio en fase de endurecimiento: `v=DMARC1; p=quarantine; sp=quarantine; np=reject; adkim=s; aspf=s; rua=mailto:dmarc-agg@example.com; ruf=mailto:dmarc-fail@example.com; fo=1`",{"title":68,"body":69},"Comprueba la alineación DKIM en Postfix","Asegúrate de que `adkim=s` (estricto) no entra en conflicto con subdominios que firman con una clave distinta. En modo estricto, el dominio del encabezado `From:` debe coincidir exactamente con el dominio `d=` de la firma DKIM. En caso de duda, usa temporalmente `adkim=r` (relajado) y analiza los informes agregados.",{"title":71,"body":72},"Comprueba la alineación DKIM en Exim","Verifica en tu configuración de Exim que `dkim_domain` coincide exactamente con el dominio publicado en tu registro DMARC. Cualquier discrepancia bajo `adkim=s` provoca un fallo DKIM y puede activar la política de cuarentena o rechazo.",{"title":74,"body":75},"Prueba y valida los informes","Espera 24 a 48 horas y analiza los informes XML agregados recibidos en la dirección `rua`. Los campos `\u003Cpolicy_evaluated>\u003Cdkim>` y `\u003Cpolicy_evaluated>\u003Cspf>` indican si tus mensajes superan la alineación. Herramientas como MXToolbox DMARCAnalyzer o mail-tester.com pueden analizar estos informes sin necesidad de escribir código.",{"type":77,"body":78},"tip","Para validar rápidamente tu registro DMARC desde el VPS, ejecuta `dig TXT _dmarc.example.com +short` y pega el valor en el comprobador DMARC de MXToolbox (mxtoolbox.com\u002Fdmarc.aspx). Detecta etiquetas desconocidas, conflictos `pct`\u002F`t` e indica si el registro es sintácticamente válido según RFC 9989. Para simular un Tree Walk, ejecuta `dig TXT _dmarc.subdominio.example.com` y `dig TXT _dmarc.example.com` en secuencia y compara las políticas devueltas en cada nivel.",{"type":35,"title":80,"body":81},"Resolución de problemas frecuentes","La mayoría de los problemas tienen una causa determinista — aquí los más frecuentes y cómo resolverlos.",{"type":39,"items":83},[84,85,86,87,88],"**`pct` ignorado por un receptor** — Si los MTA conformes con RFC 9989 ignoran tu `pct=50` y aplican la política al 100% de los mensajes, tus informes mostrarán un aumento repentino de rechazos o cuarentenas. Añade `t=y` de inmediato para pasar a modo prueba mientras adaptas tu infraestructura.","**Política `np` demasiado restrictiva** — Si un servicio legítimo envía desde un subdominio no publicado en DNS, `np=reject` bloqueará esos mensajes. Empieza por `np=quarantine` y analiza los informes antes de pasar a `reject`.","**Tree Walk produce una política inesperada** — Si encuentras un registro `_dmarc.app.example.com` huérfano de un servicio antiguo, los receptores Tree Walk lo aplicarán primero. Elimina los registros `_dmarc.*` no utilizados tras un inventario completo de tus zonas DNS.","**Informes agregados vacíos o ausentes** — Comprueba que la dirección `rua` sea accesible y que tu MX acepte informes XML comprimidos en GZIP. Algunos filtros antispam bloquean archivos adjuntos `.gz`. Verifica también el tamaño máximo de mensaje aceptado por tu servidor de recepción de informes.","**Discrepancia `adkim=s` con Postfix multidmonio** — Si usas una sola instancia de Postfix para varios dominios y la clave DKIM firma bajo `example.com` mientras que `From:` contiene `newsletter.example.com`, la alineación estricta fallará. Añade una clave DKIM dedicada por subdominio o cambia a `adkim=r` para esos dominios.",{"type":35,"title":90,"body":91},"RFC 7489 vs RFC 9989: las diferencias que importan","La tabla siguiente resume las diferencias estructurales entre las dos especificaciones.",{"type":93,"headers":94,"rows":98},"comparison",[95,96,97],"Punto","RFC 7489 (2015)","RFC 9989 (2026)",[99,103,107,111,115],[100,101,102],"Etiqueta `pct`","Presente — aplica la política a X% de los mensajes para un despliegue progresivo","Eliminada — reemplazada por `t=y` (modo prueba); cualquier receptor conforme aplica la política al 100% de los mensajes",[104,105,106],"Subdominios inexistentes","Sin etiqueta dedicada — `sp` o `p` se aplica por defecto","Etiqueta `np` introducida — política diferenciada para subdominios ausentes del DNS",[108,109,110],"Descubrimiento del dominio padre","Basado en la Public Suffix List (PSL), mantenida fuera de la IETF, varía por implementador","Tree Walk DNS — sube el árbol DNS mediante consultas sucesivas, máximo 8, definido en el estándar",[112,113,114],"Informes","Agregados y de fallo en una sola RFC 7489","Tres RFC independientes: 9989 (núcleo), 9990 (agregado), 9991 (fallo) — mejor extensibilidad",[116,117,118],"Estado","Informational — valor de referencia pero fuera del Standards Track","Proposed Standard (Standards Track) — autoridad IETF plena, base para implementaciones futuras de MTA",{"type":35,"title":120,"body":121},"Adapta ahora o gestiona las consecuencias después","DMARCbis no está aún aplicado de forma uniforme por todos los MTA — Google, Microsoft y Yahoo han anunciado fases de prueba para Tree Walk pero no se ha comunicado ninguna fecha de corte oficial. Esto no justifica la espera: RFC 9989, 9990 y 9991 están en el Standards Track, la implementación progresiva está en marcha y las primeras divergencias en la interpretación de `pct` entre receptores ya están apareciendo. Eliminar `pct`, añadir `np` y auditar tus zonas DNS para Tree Walk son acciones defensivas que no rompen nada en receptores aún en RFC 7489 — `np` es ignorado por los MTA más antiguos, y eliminar `pct` solo tiene efecto si el receptor ya aplica RFC 9989. El coste de adaptarse es bajo; el de una política aplicada de forma parcial por un ecosistema de receptores mixtos no lo es.","Un VPS para hospedar tu servidor de correo","Postfix, Exim, Dovecot o un stack completo como Stalwart o Mailcow — despliega tu infraestructura de correo en un VPS Linux con acceso root completo, puerto 25 disponible bajo petición y DNS inverso configurable.","Ver planes VPS Linux","\u002Fvps-linux",[127,143,160,175],{"id":128,"slug":129,"slugs":130,"title":134,"excerpt":135,"readTime":136,"views":18,"isPinned":19,"publishedAt":137,"updatedAt":138,"category":139,"categories":140,"featuredImage":29,"bgImage":30,"posterImage":142,"relatedSolution":29},199,"spf-dkim-dmarc-superar-el-umbral-de-5000-correos",{"fr":131,"en":132,"ar":133,"es":129},"spf-dkim-dmarc-delivrabilite-emails-pro","spf-dkim-dmarc-passing-the-5000-email-threshold","spf-وdkim-وdmarc-تجاوز-عتبة-5000-رسالة","SPF, DKIM, DMARC: superar el umbral de 5000 correos","Gmail y Outlook rechazan con un error SMTP 550 a los remitentes sin DMARC alineado. Cómo configurar SPF, DKIM y DMARC para superar el umbral.",4,"2026-08-01T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[141],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fspf-dkim-dmarc-delivrabilite-emails-pro-poster.svg",{"id":144,"slug":145,"slugs":146,"title":150,"excerpt":151,"readTime":152,"views":153,"isPinned":19,"publishedAt":154,"updatedAt":155,"category":156,"categories":157,"featuredImage":29,"bgImage":30,"posterImage":159,"relatedSolution":29},345,"dmarc-p-quarantine-entregabilidad-email",{"fr":147,"en":148,"ar":149,"es":145},"dmarc-p-quarantine-email-delivrabilite","dmarc-p-quarantine-email-deliverability","dmarc-p-quarantine-email-deliverability-ar","DMARC p=quarantine: deje de enviar en modo supervisión","En 2026, Google y Microsoft limitan los dominios en DMARC p=none. Lista de verificación: SPF, DKIM, p=quarantine y List-Unsubscribe one-click para correos profesionales.",9,1,"2026-09-10T00:00:00+00:00","2026-09-10T13:10:45+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[158],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fdmarc-p-quarantine-email-delivrabilite-poster.svg",{"id":161,"slug":162,"slugs":163,"title":167,"excerpt":168,"readTime":169,"views":18,"isPinned":19,"publishedAt":170,"updatedAt":21,"category":171,"categories":172,"featuredImage":29,"bgImage":30,"posterImage":174,"relatedSolution":29},459,"comparativa-servidores-email-self-hosted-en-vps-2026",{"fr":164,"en":165,"ar":166,"es":162},"serveur-email-self-hosted-comparatif-vps-2026","self-hosted-email-server-on-vps-comparison-2026","مقارنة-خوادم-البريد-self-hosted-على-vps-2026","Servidor de email self-hosted en VPS: comparativa 2026","Stalwart, Mailcow o Postfix+Dovecot: compara RAM, complejidad y cobertura antispam para elegir el servidor de correo adecuado para tu VPS en menos de 10 minutos.",10,"2026-10-16T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[173],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fserveur-email-self-hosted-comparatif-vps-2026-poster.svg",{"id":176,"slug":177,"slugs":178,"title":182,"excerpt":183,"readTime":152,"views":153,"isPinned":19,"publishedAt":184,"updatedAt":138,"category":185,"categories":186,"featuredImage":29,"bgImage":30,"posterImage":188,"relatedSolution":29},331,"entregabilidad-de-email-en-vps-puerto-25-ip-fria-y-ptr",{"fr":179,"en":180,"ar":181,"es":177},"email-deliverabilite-vps-port-25-dkim-ptr","email-deliverability-on-vps-port-25-cold-ip-and-ptr","تسليم-البريد-الإلكتروني-على-vps-المنفذ-25-وـ-ptr","Entregabilidad de email en VPS: puerto 25, IP fría y PTR","Puerto 25 bloqueado por el proveedor, IP nueva catalogada como spam, PTR ausente: los tres bloqueos estructurales que resolver antes del primer envío desde un VPS.","2026-09-05T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[187],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Femail-deliverabilite-vps-port-25-dkim-ptr-poster.svg",1792361155296]