En qué punto están los bancos franceses con DMARC
Por Thomas · CISO virtual · 22 de agosto de 2026
Ningún sector atrae tanto a los suplantadores como la banca. Un correo que parece venir de un banco abre puertas que ningún otro remitente abre: consigue el clic en la «alerta de seguridad», la validación del «nuevo beneficiario», la llamada de vuelta a un «asesor» que no existe. En Francia, el fraude del falso asesor bancario —una plaga de los últimos años— empieza muy a menudo con un mensaje preparatorio con los colores de la entidad, y la dirección de remitente mostrada es precisamente lo que DMARC sabe autenticar. El nombre de dominio de un banco es un activo de confianza; esa confianza es exactamente lo que el phishing secuestra.
La pregunta «¿en qué punto están los bancos franceses con DMARC?» no es, por tanto, una curiosidad de ingeniero: es un indicador de la seguridad real del canal de correo para decenas de millones de clientes. Y esa pregunta pide una medición, no una impresión. «El sector va por delante» y «el sector va con retraso» circulan a la vez, a veces el mismo día, sin que ninguna de las dos afirmaciones se apoye en una lectura real. La buena noticia: la respuesta es públicamente verificable. Una política DMARC está en el DNS público, a la vista de todos; basta con leerla, entidad por entidad, mes a mes.
Eso es precisamente lo que hace el barómetro sectorial de dmarc.com. Este artículo no copia «las cifras del mes» —congeladas en un artículo, estarían caducadas al trimestre siguiente—. Ofrece, en cambio, la clave de lectura: qué se mide y cómo, qué significan realmente los estados, qué patrones estructurales hace aparecer este tipo de corpus, qué cambia la regulación — y remite a la edición mensual para la medición al día.
Por qué la banca es el banco de pruebas de DMARC
El sector bancario reúne tres características que lo convierten en el terreno de observación ideal del despliegue de DMARC.
Primero, la exposición. Los análisis de phishing sitúan a las finanzas a la cabeza de los sectores más imitados año tras año, en todas las geografías. Nada sorprendente: suplantar a un banco se monetiza directamente —una transferencia desviada, credenciales de banca en línea, una tarjeta «por reactivar con urgencia»—. Donde la suplantación de un comercio roba una cuenta de fidelidad, la de un banco vacía una cuenta corriente. La presión ofensiva sobre los dominios bancarios es, por tanto, máxima y permanente.
Segundo, la entregabilidad. Un banco envía correo crítico: extractos, alertas de seguridad, notificaciones regulatorias, confirmaciones de operaciones. Un mensaje legítimo clasificado como spam no es una molestia de marketing, es un incidente de servicio. Desde 2024, Gmail y Yahoo exigen autenticación DMARC a los remitentes de volumen, y Microsoft siguió el mismo camino en 2025: para un emisor bancario, la autenticación ya no es una opción técnica sino una condición de entrega.
Tercero, los medios. El sector dispone de equipos de seguridad nutridos, presupuestos de cumplimiento, un supervisor atento. Si un sector puede llegar a p=reject en todo su perímetro, es este. Su posición real mide, por tanto, el techo al que los demás pueden aspirar: la banca es la prueba a escala real de DMARC. Los retos propios del sector —flujos críticos, proveedores de envío, alineación de filiales— se detallan en el caso de la banca, tratado en detalle.
Qué mide el Observatorio, y cómo
El Observatorio DMARC de dmarc.com sigue un corpus de dominios bancarios franceses —los dominios principales de las entidades, los que los clientes conocen y los defraudadores imitan— y los lee en el DNS público. Nada intrusivo en el método: la medición lee lo que cualquier resolutor ve. El registro TXT situado en _dmarc.ejemplo.es, la política p= que declara, la suerte reservada a los subdominios, el registro SPF y su rigor, los indicios públicos de DKIM y de BIMI. Es una propiedad notable de DMARC: la postura de un dominio es una declaración pública, verificable por cualquiera —clientes, periodistas, supervisores y atacantes—.
Cada dominio relevado se clasifica según su política efectiva: reject (la suplantación se rechaza), quarantine (se va a spam), none (vigilancia sin bloqueo), registro ausente o inválido —un solo error de sintaxis basta para privar a una política de todo efecto—. La lectura se repite cada mes, lo que produce dos cosas que una foto aislada no da nunca: una clasificación nominativa con fecha, y una trayectoria —quién progresa, quién se estanca, quién retrocede—.
De ese ritmo se deriva un principio firme: este artículo no cita ningún porcentaje. Una cifra impresa aquí sería falsa seis meses después y seguiría leyéndose de todos modos. El reparto por estados, la clasificación entidad por entidad y la evolución mensual viven en la edición mensual del barómetro, actualizada en cada lectura. Un artículo tiene una fecha; un barómetro tiene un ritmo —la referencia es la edición en curso—.
La lectura que importa: la política efectiva, no la presencia
La trampa clásica consiste en leer «esta entidad tiene DMARC» como «esta entidad está protegida». Un registro en p=none:
v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.es
no bloquea absolutamente nada. Es un modo de escucha: el dominio recibe informes sobre quién envía en su nombre —indispensable para empezar, sin ningún valor defensivo—. Un dominio bancario en p=none sigue siendo suplantable exactamente igual que si no tuviera DMARC; la única diferencia es que los ataques aparecen en sus informes. Para un banco, pasar años en ese estado equivale a apuntar una cámara hacia una puerta que se deja abierta de par en par.
La jerarquía útil se lee así: ausente < inválido < none < quarantine < reject. Solo los dos últimos peldaños tienen efecto sobre el correo suplantado, y solo el último cierra la puerta. Por eso el barómetro distingue la mera presencia de un registro de la política aplicada: las dos curvas cuentan historias muy distintas, y solo la segunda le importa a un defraudador.
El estándar vigente, DMARCbis (RFC 9989 a 9991), afina aún más esta lectura. La etiqueta pct ha desaparecido —una subida progresiva se expresa ahora con el modo de prueba t=y, mucho más legible—; el descubrimiento de la política sigue el DNS Tree Walk y ya no una lista de sufijos públicos; y la etiqueta np= cubre los subdominios inexistentes, blanco favorito de las suplantaciones «técnicas». La cabecera v=DMARC1 sigue siendo retrocompatible. Una política acabada para un dominio bancario se parece a esto:
v=DMARC1; p=reject; rua=mailto:dmarc@ejemplo.es; sp=reject; np=reject
El camino entre ambos registros —inventario de fuentes, alineación de SPF y DKIM, endurecimiento por etapas— es un proyecto de unos meses, jalonado en llegar a p=reject sin romper el correo.
Los patrones recurrentes en este tipo de corpus
Sin copiar las cifras del mes, cuatro patrones estructurales se repiten en los barómetros sectoriales, y el corpus bancario francés no es la excepción.
Los grupos por delante de sus marcas. El dominio principal de un gran grupo suele ser el mejor cuidado: es el que vigila el equipo de seguridad, el que examinan las auditorías. Las marcas secundarias van con retraso —la filial de crédito al consumo, la banca en línea heredada de una adquisición, la red regional, la marca histórica conservada por su clientela—. Pero el atacante elige la puerta más débil: una política reject en el dominio insignia protege poco si la marca hermana está en none. El perímetro que cuenta es el del grupo entero, no el del dominio escaparate.
La brecha entre cabeza y cola del pelotón. La distribución de un sector nunca es uniforme: una cabeza instalada en reject desde hace años, un centro que avanza a golpes —casi siempre tras una exigencia externa, rara vez de forma espontánea— y una cola que ni ha empezado. La media de un sector dice poco; la forma de la distribución lo dice todo, y esa forma es exactamente lo que la edición mensual hace visible.
Los dominios durmientes. Los grupos bancarios poseen decenas de dominios defensivos: marcas antiguas, productos descatalogados, variantes tipográficas registradas por precaución. Esos dominios nunca envían y casi nunca se vigilan —un candidato perfecto para la suplantación, porque nadie lee sus informes—. Y sin embargo, un dominio que no envía nada se bloquea con dos registros: un SPF v=spf1 -all y un DMARC p=reject. Es la obra más barata del sector, y la más olvidada.
BIMI como marcador de llegada. Mostrar el logotipo de la marca en las bandejas de entrada exige una política aplicada y, en los principales proveedores, un certificado VMC. Un registro BIMI en un dominio bancario señala, por tanto, una remediación terminada —un marcador de madurez que la lectura mensual también capta—.
Estas dinámicas no son exclusivas de la banca francesa; reaparecen, desfasadas en el tiempo, en los demás sectores seguidos. El panorama de conjunto se traza en las tendencias de adopción de DMARC en 2026.
Lo que DORA y NIS2 cambian
Dos fuerzas externas han movido DMARC de la mesa del equipo de mensajería a la de la dirección de riesgos.
La primera vino de las bandejas de entrada: las exigencias de Gmail, de Yahoo y luego de Microsoft convirtieron la autenticación en una condición de entrega, también para el correo perfectamente legítimo. Una entidad puede ignorar un riesgo de suplantación; no puede ignorar extractos que dejan de llegar.
La segunda es regulatoria. DORA, aplicable desde enero de 2025 a las entidades financieras de la Unión, no cita DMARC por su nombre —el reglamento impone una gestión del riesgo tecnológico, medidas de protección proporcionadas y la notificación de los incidentes graves—. Pero la traducción operativa es directa: una campaña de suplantación del dominio con éxito se convierte en un incidente que calificar, documentar y, llegado el caso, notificar; un dominio dejado en p=none pese a informes que muestran el abuso se convierte en una posición difícil de defender en una auditoría. La lectura detallada de lo que el reglamento implica para el correo se ofrece en las exigencias de correo de DORA. NIS2 extiende el mismo movimiento al ecosistema circundante —proveedores, operadores, fintechs—, quedando la banca sujeta primero a DORA, lex specialis del sector financiero.
La consecuencia concreta se lee en las trayectorias: el tema ha cambiado de dueño. Mientras DMARC contaba como higiene técnica, esperaba su turno detrás de los proyectos visibles; desde que toca el cumplimiento, tiene presupuesto, calendario y responsable. Ese vuelco es exactamente lo que un barómetro mensual permite observar —no «¿tiene el sector DMARC?», sino «¿a qué velocidad se endurece la política efectiva?»—.
Situar un dominio bancario
Tres preguntas bastan para situar una entidad, y el método vale para cualquier dominio, bancario o no.
¿Existe el registro, y es válido? Una consulta DNS a _dmarc.ejemplo.es responde en un segundo; una sintaxis rota equivale a una ausencia. ¿Se aplica la política? p=reject o p=quarantine protegen; p=none observa; y el tratamiento de los subdominios (sp=, np=) merece el mismo examen que el dominio raíz. ¿Acompaña el perímetro del grupo? Marcas comerciales, filiales, dominios durmientes: la protección se juzga sobre el conjunto, porque el atacante no se detiene en el dominio principal.
La comparación sectorial hace el resto. La edición mensual del barómetro sitúa a cada entidad en la clasificación, estado por estado, y el histórico muestra la trayectoria —un dominio en quarantine que se endurece en cada lectura va mejor encaminado que un reject aislado rodeado de marcas en none—. La foto y la película, juntas, dan la posición real.
En resumen
La banca francesa es el banco de pruebas de DMARC: el sector más suplantado, el más dependiente de la confianza, el mejor equipado para hacerlo bien y el más regulado cuando no lo hace. Su posición se mide en el DNS público —presencia, política efectiva, perímetro de grupo, evolución mensual—, no con impresiones. La lectura útil no es «tener DMARC» sino «aplicar una política»: p=none no ha bloqueado nunca una sola suplantación. Los patrones recurrentes —grupos por delante de sus marcas, brecha entre cabeza y cola, dominios durmientes olvidados— señalan las verdaderas obras, y DORA ha convertido el expediente técnico en un expediente de cumplimiento. Las cifras del mes, mientras tanto, viven en la edición mensual del Observatorio, actualizada lectura tras lectura.
La continuación natural cabe en dos gestos. Pasar el dominio —bancario o no— por el analizador en línea muestra en segundos dónde se sitúa en la misma escala que usa el barómetro: presencia, validez, política efectiva, subdominios. Y crear una cuenta abre el seguimiento continuo, informes agregados incluidos, para hacer subir la política hacia p=reject —antes de que la clasificación mensual lo señale a su manera—.
Guías relacionadas
- Cuando el reenvío de correo rompe SPF (y lo que SRS repara)
Un correo reenviado sale de la IP del reenviador, ausente del SPF: fallo garantizado. Lo que SRS repara, lo que DKIM salva y el efecto sobre DMARC.
- Inventariar los remitentes terceros de un dominio: el mapa antes de DMARC
Ningún proyecto DMARC sobrevive a un tercero olvidado: familias de remitentes, tres fuentes de verdad y un método para mapear los envíos antes de p=reject.
- DMARC falla aunque SPF pasa: entender la alineación
Un informe agregado puede mostrar spf=pass y dmarc=fail en el mismo mensaje. La explicación se llama alineación, y cambia la lectura de los informes.
Sobre el autor
Thomas — Thomas es el CISO virtual de DMARC.com: un copiloto especializado en la autenticación de correo que acompaña a las organizaciones de p=none hasta p=reject, sin romper su correo. Sus guías se basan en los datos reales del Observatorio DMARC y de los informes RUA analizados por la plataforma.