¿Cuánto se tarda en alcanzar p=reject?

El desglose por fases

El trayecto hacia la aplicación de la política no es un interruptor, es una escalera. Cada peldaño tiene su propia duración, y es sumando esos peldaños — no fijando una fecha arbitraria — como se obtiene un calendario honesto. El método completo, peldaño a peldaño, se detalla en alcanzar p=reject sin romper el correo legítimo; aquí va la lectura temporal.

Fase 1 — Observar en p=none (2 a 4 semanas)

Se publica un registro en p=none con una dirección de recogida, y se escucha. Esta fase todavía no protege nada: cartografía. Su único fin es hacer aflorar, a través de los informes agregados, la lista exhaustiva de los sistemas que emiten en nombre del dominio. Hay que contar dos a cuatro semanas como mínimo, por una razón simple: hay que ver pasar un ciclo de actividad completo. Un emisor que solo funciona una vez al mes — una nómina, un extracto, una facturación periódica — no aparecerá en los informes de la primera semana. Cortar antes de haber cerrado ese ciclo es endurecer sin conocer todas las fuentes. Para extraer la señal correcta de esos ficheros, el apoyo es entender los informes agregados de DMARC.

Fase 2 — Corregir la alineación, fuente por fuente

Es la fase que absorbe la mayor parte del calendario, y la más variable. Para cada emisor legítimo identificado en la fase 1, hay que conseguir una alineación por SPF o DKIM. En concreto: activar la firma DKIM en un proveedor, añadir un include de SPF, hacer apuntar un subdominio de envío. La duración depende enteramente de los terceros. Un ESP moderno muestra los registros a publicar en dos clics; un viejo sistema interno puede requerir desarrollo. Las fuentes se tratan por volumen decreciente: asegurar primero lo que envía más correo reduce el riesgo más rápido. La lista de comprobación para no olvidar nada en esta etapa está en la checklist DMARC de none a reject.

Fase 3 — El escalón quarantine (con el modo de prueba)

Una vez alineadas las fuentes principales, no se salta directamente a reject. Se pasa por p=quarantine, que envía el correo no conforme a spam en lugar de rechazarlo de plano — una red de seguridad. Aquí es donde DMARCbis cambia las cosas: en lugar de la antigua etiqueta pct (retirada), se usa el modo de prueba t=y, que señala a los destinatarios «estoy experimentando con esta política, comunícame las desviaciones sin aplicarla todavía de forma estricta». Este modo permite observar el efecto de una política más dura sin riesgo, tanto tiempo como sea necesario. El funcionamiento preciso de esta palanca se explica en la etiqueta t de DMARCbis, que reemplaza a pct para temporizar con suavidad. Conviene quedarse en este escalón hasta que los informes estén limpios: el debate quarantine frente a reject se zanja en cuarentena o reject.

Fase 4 — Bascular a reject

Cuando los informes ya solo muestran correo alineado, y los únicos fallos que quedan son manifiestamente suplantación de identidad, se pasa a p=reject. Es el único estado que protege realmente un dominio: los mensajes fraudulentos se rechazan en la puerta. Con las fases anteriores bien hechas, esta bascula es un no-evento — nada se rompe, porque todo lo legítimo ya está alineado. El ritmo de conjunto y las variantes de despliegue se cubren en el despliegue DMARC por etapas.

Lo que importa no es la velocidad

Este es el mensaje que repito a cada cliente: la seguridad de la subida prima sobre su rapidez. p=reject no es una línea de meta donde se gana una medalla por llegar el primero. Es un estado de aplicación de la política que rechaza correo — incluido el correo legítimo propio, si no está alineado. Precipitar el paso a reject con fuentes todavía mal configuradas es garantizar que una factura, una confirmación de pedido o una notificación crítica acabará rechazada. El coste de una semana de observación de más es nulo. El coste de un reject prematuro es un incidente de producción, clientes que ya no reciben sus mensajes, y una confianza que reconstruir.

Por eso mismo nunca hay que confundir «ir rápido» con «ir bien». Un dominio que alcanza reject en tres semanas pero llega rompiendo dos fuentes no ha ganado tiempo: ha creado un incidente que habrá que tratar de urgencia, a menudo volviendo a none — es decir, deshaciendo todo el trabajo. El trayecto limpio, en cambio, es monótono: cada peldaño se sube cuando el anterior es sólido, y la bascula final no sorprende a nadie.

Por qué tantos dominios se quedan atascados

Al mirar la postura real del mercado, un dato salta a la vista: una parte importante de los dominios se queda en p=none, a veces durante años. No es pereza. Casi siempre es la ausencia de método. Los equipos publican un p=none, reciben informes ilegibles en bruto, no saben qué fuentes alinear ni en qué orden, y el proyecto se atasca por falta de un responsable claro. p=none se convierte en un purgatorio cómodo: parece «hecho», pero no protege nada. Esta realidad se observa, sector por sector, en el Observatorio DMARC — cuántos dominios todavía no aplican ninguna política. La lección no es que alcanzar reject sea difícil; es que llegar sin método lo es. Con un inventario de fuentes, un orden de prioridad y un escalón de prueba, el proyecto vuelve a ser lineal.

Cómo acortar el plazo (sin precipitarlo)

Acelerar limpiamente es posible — atacando los cuellos de botella adecuados:

• Inventariar pronto y por completo. El tiempo perdido rara vez viene de la configuración DNS; viene de las fuentes que se descubren demasiado tarde. Una fase de observación llevada hasta el final del ciclo evita los rebotes.
• Atacar primero a los terceros lentos. Si un proveedor tarda dos semanas en activar DKIM, ese ticket se abre el primer día, no el último. Esos plazos externos se paralelizan: van lanzados todos a la vez.
• Priorizar por volumen. Alinear primero la fuente que lleva el 80 % del correo reduce el riesgo mucho más rápido que empezar por un emisor marginal.
• Nombrar un responsable. El mejor acelerador no es técnico: es una persona responsable de la postura, con un panel al día y el mandato de hacer publicar los registros. Sin responsable, cada fase se alarga.
• Usar el modo de prueba para no esperar en el vacío. t=y permite probar una política dura sin aplicarla: se gana confianza mientras se corrigen las últimas fuentes, en lugar de quedarse bloqueado en observación pura.

Un diagnóstico del punto de partida, hoy

El mejor punto de partida es un diagnóstico honesto de la situación actual. Nuestro analizador DMARC gratuito responde en unos segundos: si el dominio está en none, quarantine o reject, y qué le separa de la siguiente etapa. La postura se sitúa después respecto al sector en el Observatorio DMARC — donde se ve enseguida que quedarse en none es la norma, no una fatalidad.

Descomponer un calendario propio — inventariar las fuentes, priorizarlas, saber exactamente cuándo endurecer sin romper — es justo lo que Thomas, el CISO virtual, automatiza: nombra cada fuente a partir de los informes, evalúa la preparación sobre datos deslizantes, genera el DNS a publicar y señala el momento preciso para subir el siguiente peldaño, de p=none hasta p=reject. Análisis de dominio gratuito · explorar el Observatorio · empezar con Thomas.