Cuánto cuesta un servicio DMARC (y qué determina el precio)

Las verdaderas palancas de precio

Una tarifa DMARC no es una cifra única; es el producto de varias variables. Entenderlas permite prever la factura y detectar una oferta calibrada para una necesidad ajena.

• El número de dominios. Es la palanca número uno. Vigilar un dominio o vigilar cincuenta no es el mismo servicio —cada dominio tiene sus propios informes, sus propias fuentes, su propia política—. Casi todas las ofertas facturan por tramos de dominios.
• El volumen de informes y de correos. Una gran organización que envía millones de mensajes genera muchos más datos que parsear y almacenar que una asociación que envía mil al mes. Algunas ofertas tarifan por volumen, otras lo incluyen en el tramo de dominios.
• La duración de conservación de los datos. Guardar el histórico de informes tres meses o dos años cambia el coste de almacenamiento y el valor analítico. Una retención larga sirve a la auditoría, al cumplimiento y a la detección de tendencias lentas; se paga.
• Las funcionalidades. La alerta en tiempo real, el buzón rua alojado, la asistencia BIMI/VMC (mostrar el logotipo), la gestión de los informes forenses (RUF), la exportación de auditoría firmada, el multiusuario con roles: cada pieza suma al precio. Una necesidad de pura vigilancia cuesta menos que una necesidad de cumplimiento con herramientas.
• Autoservicio o gestionado. Una herramienta en autoservicio, en la que el trabajo de análisis se hace con el panel de control, cuesta bastante menos que un acompañamiento gestionado en el que un tercero pilota la remediación. Es el arbitraje más estructural, detallado en DMARC autoalojado o gestionado.
• El nivel de soporte. Soporte comunitario, correo estándar, o línea dedicada con compromiso de plazo: el SLA se refleja en la tarifa.
• La duración del compromiso. Mensual sin permanencia, o anual con descuento: el compromiso largo reduce el precio unitario pero congela la elección.

Ninguna de estas palancas es buena o mala en abstracto. El buen reflejo es saber cuáles cuentan de verdad en cada caso e ignorar el resto.

Los niveles, en clave cualitativa

Sin citar ninguna cifra de mercado ni competidor, se pueden describir cuatro grandes familias de ofertas. La lógica de progresión es casi siempre la misma.

• Gratis. Una vigilancia básica para uno o dos dominios, un panel de control sencillo, una retención corta. Suficiente para descubrir quién envía en nombre del dominio y publicar p=none con confianza. Es un nivel de verdad, no una trampa —muchas estructuras pequeñas nunca necesitan ir más allá—.
• Nivel de entrada. Unos pocos dominios, una retención más larga, la alerta, el acompañamiento hacia p=reject. Es el nivel de la pyme que se toma el tema en serio y quiere llegar a la aplicación de la política sin pasarse las tardes en ello.
• Equipo / empresa mediana. Varias decenas de dominios, multiusuario con roles, retención alineada con las exigencias de auditoría, asistencia BIMI, exportación de cumplimiento. El nivel de las organizaciones con filiales, marcas múltiples y obligaciones normativas.
• Gran cuenta / gestionado. Perímetro amplio, compromiso de servicio, acompañamiento gestionado, eventualmente soberanía de los datos y alojamiento dedicado. El nivel en el que el servicio se convierte en una prestación, no en una simple suscripción.

La subida de un nivel a otro sigue las restricciones reales —número de dominios, cumplimiento, tolerancia al riesgo—, no unas ganas de «coger lo más completo». Comprar de más un nivel es un error tan costoso como infradotar una necesidad seria.

El coste de no hacer nada

Presupuestar DMARC es también cuantificar el otro platillo de la balanza: lo que cuesta la ausencia de una política aplicada. Ese coste es real, aunque sea difuso.

Primero, la entregabilidad. Desde 2024, los grandes proveedores —Gmail, Yahoo, Microsoft— imponen DMARC a los remitentes de volumen; sin autenticación alineada, los mensajes se van a spam o son rechazados. El detalle de estas exigencias está en las reglas de Gmail y Yahoo para los remitentes. Un correo comercial que no llega es un ingreso perdido que no se ve en ningún presupuesto pero que existe.

Después, el fraude. Un dominio en p=none es un dominio cuya dirección cualquiera puede suplantar para phishing o fraude del CEO. El coste de un incidente —una transferencia desviada, una fuga de datos desencadenada por un correo creíble con el nombre de la organización— supera en varios órdenes de magnitud cualquier suscripción DMARC. La lógica completa de este valor se despliega en llegar a p=reject sin romper el correo: la aplicación de la política no es un gasto de seguridad abstracto, es lo que priva concretamente al defraudador de ese nombre como canal de ataque.

Dicho de otro modo, la verdadera comparación no es «servicio DMARC contra cero euros», sino «servicio DMARC contra el coste esperado de una entregabilidad degradada y de una posible suplantación». Encuadrado así, el nivel de entrada se justifica casi siempre para una organización que envía correo en serio.

Un ejemplo concreto a tres escalas

Tomemos tres perfiles muy distintos para ver cómo cambia la lógica de coste, sin inventar importes presentados como precios de mercado.

Una pequeña asociación, un dominio. Envía una newsletter mensual y algunos correos de gestión desde una única plataforma. Su necesidad: publicar p=none, comprobar que ningún suplantador se esconde, y luego endurecer. Un nivel gratis le basta muy probablemente: un dominio, una vigilancia básica, una retención de unos meses. Llega a p=reject en unas semanas y nunca necesita pagar. Aquí el coste del servicio es nulo y es la elección correcta —comprar de más sería un despilfarro—.

Una empresa mediana, una veintena de dominios. Tiene una marca principal, varias filiales, dominios de marca defensivos y una decena de proveedores de envío (marketing, facturación, transaccional, RR. HH.). Su necesidad cambia de naturaleza: debe inventariar fuentes dispersas, gestionar varias políticas en paralelo, alertar cuando una filial conecta una nueva herramienta, y documentarlo todo para una auditoría ISO o una exigencia de cliente. La palanca «número de dominios» y la palanca «cumplimiento» la sitúan en un nivel equipo / empresa. El coste es real pero modesto frente a lo que está en juego: compra tiempo de ingeniería ahorrado y un riesgo de suplantación cerrado en veinte puertas en lugar de una.

Una agencia o un MSP, ~200 dominios de clientes. Ahí, la lógica cambia por completo. El servicio ya no es una suscripción para su dominio, sino una herramienta de producción para gestionar los dominios de doscientos clientes. Lo que importa pasa a ser el multi-tenant, los roles y permisos, la facturación por cliente, la automatización del onboarding, y un soporte a la altura. El precio ya no se lee por dominio aislado, sino a escala del parque, a menudo con una tarifa decreciente por volumen y un compromiso. A esta escala, la pregunta no es «cuánto cuesta DMARC» sino «cuánto margen me deja el servicio frente al tiempo que me ahorra en doscientas remediaciones». El coste por dominio se hunde; el valor, en cambio, se mide en horas de ingeniería no gastadas.

Mismo estándar gratis, tres estructuras de coste radicalmente distintas —porque lo que se compra nunca es el registro DNS, es la explotación a su escala—.

Lo que NO hay que pagar

Tanto como se justifican ciertos gastos, otros son errores de presupuestación frecuentes. A evitar:

• Pagar por publicar el registro. Nadie debería facturar la simple puesta en marcha del TXT _dmarc: es gratis y se hace por cuenta propia. Un servicio se paga por el análisis continuo, no por pegar una línea de DNS.
• Pagar por dominios que no se vigilan de verdad. Un nivel calibrado para cincuenta dominios cuando se explotan cinco es dinero tirado. Mejor pagar por el parque real, aunque se suba de nivel más adelante.
• Pagar por un RUF que no se va a usar. Los informes forenses rara vez los envían los grandes proveedores en 2026 y plantean cuestiones de RGPD. Facturar una pieza «forense» a una organización que no la necesita es un mal trato.
• Pagar una retención desmesurada por defecto. Dos años de histórico sirven a la auditoría y al cumplimiento; a falta de esas exigencias, una retención larga solo hincha la factura por un valor analítico que nadie explotará.
• Pagar un acompañamiento gestionado para un ecosistema sencillo. Cuando el envío sale de una o dos plataformas bien identificadas, la gestión completa está sobredimensionada: el autoservicio basta. El tema se aborda de frente en cómo elegir la herramienta DMARC.
• Encerrarse en un compromiso largo antes de haber llegado a p=reject. Mientras la política no esté estabilizada, más vale mantener la flexibilidad del mensual; la reevaluación llega una vez alcanzado el régimen de crucero.

La regla general: pagar por un problema real, no por una casilla marcada en una ficha de producto.

Cómo presupuestar sin equivocarse

El método sano cabe en tres preguntas. ¿Cuántos dominios voy a vigilar realmente? —es la palanca principal, y lo que se cuenta es el parque real, no el parque teórico—. ¿Qué nivel de cumplimiento se me impone? —una auditoría ISO o una exigencia de cliente tira hacia arriba de la retención y la exportación; sin obligación, más vale quedarse ligero—. ¿Tengo las competencias internas para pilotar la remediación, o debo delegar? —es el arbitraje autoservicio contra gestionado, el que más pesa en el precio—.

Respondidas estas tres preguntas, el nivel se impone casi por sí solo. La trampa inversa —elegir por miedo, coger «lo más completo para quedarme tranquilo»— sale caro por un valor que nadie usará. Un DMARC bien presupuestado es un nivel que sigue la necesidad real, reevaluado cuando el parque o las obligaciones cambian.

En resumen

El estándar DMARC es gratis; el servicio que lo explota se paga, y su precio lo pilotan el número de dominios, el volumen, la retención, las funcionalidades, el modo autoservicio o gestionado, el soporte y el compromiso. Enfrente, el coste de no hacer nada —entregabilidad perdida en Gmail y Microsoft, posible suplantación de la marca— supera casi siempre al del nivel de entrada. El presupuesto se hace en función del parque real y de las obligaciones, no de unas ganas de exhaustividad, y nunca se paga por publicar un registro que se pone por cuenta propia.

El punto de partida no cuesta nada: basta con pasar el dominio por el analizador DMARC gratuito para ver el estado real de las fuentes y saber qué nivel reclama de verdad la necesidad. Una vez hecho el diagnóstico, crear una cuenta permite hacer subir la política hacia p=reject al ritmo que el presupuesto y el ecosistema permitan —el estándar seguirá siendo gratis, y solo se paga el trabajo que, ese sí, tiene un valor real—.