Adopción de DMARC: lo que muestra 2026

v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.es
v=DMARC1; p=reject; rua=mailto:dmarc@ejemplo.es; sp=reject; np=reject

Lo que dibuja la serie de barómetros, sector a sector

Los barómetros sectoriales de dmarc.com relevan cada mes, en el DNS público, la postura de corpus enteros de dominios. Sin copiar las cifras del mes, tres posiciones relativas destacan con nitidez.

La banca va en cabeza. Sector más suplantado, más dependiente de la confianza y más regulado — DORA obliga —, acumula medios y presión externa. El barómetro dedicado a los bancos franceses lo trata como el banco de pruebas del protocolo: si un sector puede alcanzar p=reject en todo su perímetro, es este, y su posición mide el techo de lo que los demás pueden aspirar a lograr.

El sector público local va rezagado. El barómetro de las ciudades y administraciones locales documenta un paisaje de equipos pequeños, proveedores dispersos y una presión de entregabilidad débil — un ayuntamiento envía poco correo en volumen, así que las exigencias de Gmail apenas lo condicionaron. La paradoja es cruel: la suplantación de una administración local llega directamente a los vecinos, en asuntos — impuestos, registro civil, matrículas escolares — donde la confianza en el remitente es máxima.

La sanidad ilustra la brecha entre criticidad y medios: un correo vital — citas, resultados, coordinación asistencial —, equipos informáticos en tensión permanente y un patrimonio de dominios rara vez inventariado. El barómetro del sector sanitario encuentra el mismo perfil de cabeza y cola de pelotón que los demás corpus, desplazado hacia abajo.

Más allá de las posiciones relativas, los patrones estructurales se repiten de un sector a otro: una distribución nunca uniforme — una cabeza instalada en reject desde hace tiempo, un pelotón central que avanza a trompicones, rara vez sin presión externa, una cola que no ha empezado —; dominios principales mejor cuidados que las marcas secundarias y las filiales; dominios durmientes olvidados por todos, salvo por los defraudadores. La media de un sector dice poco; la forma de su distribución lo dice todo.

Los niveles de madurez de una organización

Trasladada a una organización concreta, la trayectoria típica se lee en cinco niveles, y cada barómetro fotografía cómo se reparte un sector entre ellos.

Nivel cero: nada, o un registro inválido — un error de sintaxis basta para privar a la política de todo efecto. Nivel uno: p=none publicado, informes sin explotar; es la meseta de la conformidad mínima, donde aparca buena parte de los dominios equipados. Nivel dos: los informes se leen y el trabajo empieza — inventario de fuentes, alineamiento de SPF y DKIM proveedor a proveedor. Nivel tres: endurecimiento por etapas hacia quarantine y luego reject, hoy bien instrumentado por el modo de prueba t=y. Nivel cuatro: la aplicación cubre el perímetro entero — subdominios (sp=, np=), marcas secundarias, dominios durmientes bloqueados — y BIMI marca, en su caso, la llegada. El paso del nivel uno al nivel cuatro es un proyecto de unos meses para un ecosistema sencillo, más para un grupo; la checklist de cumplimiento para 2026 desglosa cada etapa.

Esta parrilla aclara la lectura de las mediciones: un sector solo progresa de verdad cuando hay dominios que cruzan los niveles dos y tres. Un nivel uno que se llena hace subir la curva de presencia — no la protección.

Lo que DMARCbis cambia para 2027

La publicación de DMARCbis no exige ninguna migración urgente — v=DMARC1 sigue siendo retrocompatible —, pero rebaraja tres cartas para 2027.

Primero, el descubrimiento de la política sigue ahora el DNS Tree Walk: el dominio organizativo se determina subiendo por el propio árbol DNS, y ya no mediante la Public Suffix List, esa lista externa que el estándar arrastraba como una muleta. Para los grupos con árboles de dominios profundos, la política aplicable se vuelve más previsible; la etiqueta psd= acompaña el mecanismo.

Segundo, la etiqueta pct ha desaparecido. La subida progresiva se expresa ahora con el modo de prueba t=y, de efectos mucho más legibles — pct nunca garantizó de verdad la proporción que prometía. Los registros que aún llevan un pct= merecen una revisión a medida que los receptores convergen hacia el nuevo texto.

Tercero, la etiqueta np= fija explícitamente la suerte de los subdominios inexistentes — blanco favorito de las suplantaciones técnicas, precisamente porque de ellos no sale nunca correo legítimo. Un np=reject figura entre los endurecimientos menos arriesgados del protocolo. La presentación completa de DMARCbis detalla el conjunto de los cambios y lo que implican según el punto de partida.

Para la medición de la adopción, el nuevo estándar añade marcadores de madurez observables: la presencia de un np=, el uso del modo de prueba, la desaparición progresiva de los pct heredados. Las mediciones de 2027 tendrán columnas nuevas que seguir.

Dónde sigue viva la medición

Una síntesis tiene fecha; la adopción se mueve cada mes. Esa es la razón de ser del Observatorio DMARC: ediciones mensuales por sector y por país, relevadas en el DNS público — presencia, validez, política efectiva, tratamiento de los subdominios, señales SPF, DKIM y BIMI — con clasificación nominal e histórico. Nada intrusivo en el método: se lee lo que cualquier resolutor ve, porque la postura DMARC de un dominio es una declaración pública, verificable por cualquiera.

El ritmo mensual aporta lo que ninguna encuesta anual puede dar. Las regresiones se vuelven visibles — un registro roto por una migración DNS, un reject degradado a none tras un incidente de entregabilidad mal diagnosticado. El efecto de los plazos normativos se observa casi en directo. Y las trayectorias — quién avanza, quién se estanca — cuentan más que las instantáneas: una encuesta es una foto, un observatorio es una película.

Una proyección prudente

Lo que la dinámica de 2024–2026 permite afirmar, sin aventurar una sola cifra, cabe en tres líneas de tendencia.

La presencia de registros seguirá creciendo: no cuesta nada y las exigencias tiran de ella mecánicamente. La curva que merece atención es la otra — la parte de políticas realmente aplicadas. Tres fuerzas la empujan: las exigencias de los buzones, que se endurecen a golpe de trinquete, con umbrales que bajan y excepciones que se cierran; la normativa, que transforma poco a poco el p=none prolongado en un hallazgo de auditoría; y el utillaje, que DMARCbis simplifica. En sentido contrario, la larga cola — estructuras pequeñas, dominios durmientes, administraciones sin equipo dedicado — tardará años en reabsorberse.

La dirección es, pues, segura; el ritmo no lo es. Precisamente por eso, la proyección honesta remite a la medición: la velocidad real se lee en las ediciones mensuales, relevamiento tras relevamiento, y no en los pronósticos.

En resumen

2026 marca un punto de inflexión para DMARC: tres motores — las exigencias de Gmail, Yahoo y luego Microsoft, la presión de NIS2 y DORA, la publicación de DMARCbis — comprimieron en tres años una adopción que prometía llevar diez. Pero la curva que más sube es la que cuenta registros, no protecciones: en todas partes, el p=none de conformidad domina entre los dominios equipados, y solo una política aplicada — quarantine, después reject — cierra la puerta a la suplantación. Los barómetros sectoriales dibujan diferencias nítidas, con la banca en cabeza y el sector público local y la sanidad rezagados, y los mismos patrones estructurales en todas partes. DMARCbis prepara 2027: Tree Walk, modo de prueba, np=, fin de pct. La medición continua, mientras tanto, vive en el Observatorio — por sector, por país, mes a mes.

Para situar un dominio en esa misma escala, un pase por el analizador en línea muestra en segundos la posición real: presencia, validez, política efectiva, subdominios. Y la creación de una cuenta abre la continuación lógica — informes agregados, inventario de fuentes y subida por niveles hacia p=reject, al ritmo que el ecosistema de envío permita.