DMARC gratis o de pago: qué cubre realmente cada opción

Cuándo lo gratis basta de verdad

Seamos claros, porque demasiados artículos tienen miedo de decirlo: en varios casos, lo gratis no solo es suficiente, sino la buena elección.

• Un solo dominio, un ecosistema de envío simple y estable. El dominio emite desde una plataforma de mensajería y una o dos herramientas, y eso casi nunca se mueve. Una vez alineado, se queda alineado.
• Un endurecimiento puntual hacia p=reject, de una vez por todas. El objetivo es alcanzar la aplicación y luego no tocarla más. Una vez puesto p=reject sobre un ecosistema estable, no hay gran cosa que vigilar.
• Un propietario con soltura técnica. Sabe leer un registro DNS, no le da miedo abrir un fichero XML, y parsear tres informes a mano no le hace huir.
• Ninguna exigencia de prueba de conformidad. Nadie exige demostrar, con el histórico en la mano, que el dominio está protegido desde hace seis meses.

En este perfil, pagar una suscripción mensual sería pagar por funciones que nunca se usarán. Un diagnóstico gratis de partida, una subida de política cuidada, una verificación ocasional: es de sobra suficiente. No hay que pagar por un problema que no se tiene.

Cuándo lo de pago se gana su precio

A la inversa, varias situaciones inclinan la balanza — y ahí, empeñarse en hacerlo todo a mano cuesta más caro que la suscripción, en tiempo y en riesgo.

• Muchos dominios. Más allá de un puñado de dominios, la gestión manual ya no aguanta. Cada dominio tiene su propio inventario de fuentes, su propia etapa, sus propios informes diarios.
• Se necesita una vigilancia continua. El ecosistema de envío se mueve: aparecen nuevos proveedores cada mes, el marketing conecta una herramienta sin avisar, una filial abre un flujo. La monitorización DMARC gratuita — es decir, alguien abriendo XML de vez en cuando — no captará esos cambios a tiempo.
• Un equipo no técnico. Si la persona responsable no está cómoda con el DNS y el XML, un servicio que traduce todo a lenguaje claro y a acciones concretas no es un lujo, es lo que hace el proyecto factible.
• Una prueba de conformidad. NIS2, DORA, una auditoría, un cliente que exige garantías: hace falta un histórico consultable y exportable, no un buzón. La retención y el reporte son exactamente lo que aporta un servicio de pago.
• Ningún tiempo para parsear XML. A menudo es el verdadero criterio. Técnicamente, todo podría hacerse a mano. Pero el tiempo tiene un coste, y pasarlo descodificando informes agregados en lugar de ejercer el oficio propio es un mal cálculo.

El vínculo de fondo aquí es que esos informes agregados son precisamente lo que un servicio de pago ingiere de forma continua — entender lo que contienen ayuda a captar lo que se delega. Para levantar el capó, entender los informes agregados DMARC explica lo que se lee en ellos y por qué su lectura manual no escala.

Dos ejemplos concretos

Nada como dos casos opuestos para hacer la decisión tangible.

Caso 1 — La fundadora en solitario que endurece una vez y no vuelve a pensar en ello. Camila dirige un estudio de diseño de tres personas. Emite desde una sola plataforma de mensajería y una herramienta de facturación. Dos fuentes, y ya está, y eso no cambiará en mucho tiempo. Pasa su dominio por un analizador gratuito, descubre que está en p=none, alinea su DKIM en una tarde, deja p=none rodando tres semanas para verificar que sus informes están limpios, luego pasa a p=quarantine un fin de semana y por fin a p=reject. Total gastado: cero euros. Para su perfil — un dominio, un ecosistema fijo, una propietaria con soltura técnica — una suscripción mensual sería dinero tirado. Lo gratis no es un compromiso aquí: es la respuesta correcta. Su única disciplina restante: volver a verificar su dominio dos veces al año, por si acaso.

Caso 2 — La empresa de 200 personas donde aparece una fuente cada mes. Una pyme industrial de 200 empleados, cinco dominios de marca, una quincena de subdominios. El marketing lanza campañas desde nuevas herramientas sin avisar al departamento de sistemas; RR. HH. tiene su propia plataforma de emailing; un proveedor de eventos envía dos veces al año en nombre del dominio. Cada mes, una nueva fuente legítima aparece en los informes. Aquí, la lectura manual está perdida de antemano: nadie abrirá los XML de cinco dominios todos los días, y el día en que una fuente legítima empiece a fallar en p=reject, el email desaparece silenciosamente — un cliente no recibe nunca su confirmación, y se entera por una reclamación. Para este perfil, un servicio de pago que ingiere los informes de forma continua, nombra cada fuente y alerta en cuanto emerge un emisor desconocido, se amortiza en el primer incidente evitado. El coste de la suscripción es irrisorio frente al coste de un flujo crítico roto sin que nadie se dé cuenta.

Mismo estándar, mismo objetivo (p=reject), dos respuestas opuestas — porque no es la protección lo que se compra, es la capacidad de mantenerla en un entorno que se mueve.

Errores frecuentes

Dos trampas simétricas acechan, y cuestan caras en ambos sentidos.

• Tomar una verificación gratuita puntual por una protección continua. El error más extendido. El dominio pasa por un analizador, aparece «p=reject, todo en verde», y el tema se archiva. Seis meses después, el marketing ha conectado tres herramientas, dos de ellas fallan la alineación, y nadie lo sabe porque nadie mira. Un diagnóstico foto no es un sistema de alerta. Lo gratis dice dónde está el dominio hoy; no avisa de lo que cambia mañana. Cuando el ecosistema se mueve, hace falta una vigilancia, gratuita (alguien, disciplinado, todos los días — raro) o de pago.
• Pagar por funciones que un dominio único nunca usará. El error inverso. Una fundadora con un solo dominio fijo no necesita gestión multidominio, alertas en tiempo real ni seis meses de retención exportable. Suscribir un plan rico «por si acaso» equivale a pagar un seguro a todo riesgo para una bicicleta. El servicio se dimensiona al riesgo real, no al miedo.
• Creer que «gratis» significa «sin esfuerzo». Lo gratis es gratis en euros, no en tiempo. Parsear informes a mano es trabajo. El verdadero arbitraje no es «gratis frente a pago» sino «tiempo propio frente a una suscripción». Ese tiempo se cuantifica antes de concluir.
• Confundir el precio y la adecuación. Lo más barato no es lo mejor, y lo más caro tampoco. La buena elección es la que se corresponde con el número de dominios, la estabilidad del ecosistema y el nivel técnico del equipo. Los criterios que cuentan de verdad se detallan en las funcionalidades de un analizador DMARC.

Un atajo de decisión

Si hubiera que quedarse con una sola cuadrícula, sería esta. Tres preguntas:

1. ¿Cuántos dominios? Uno solo, estable → lo gratis es probablemente suficiente. Varios, o en crecimiento → la balanza se inclina hacia el pago.
2. ¿Se mueve el ecosistema de envío? Fijo → lo gratis aguanta. Cambiante (nuevas fuentes regulares) → hace falta una vigilancia continua.
3. ¿Hay que probar la conformidad, y hay tiempo para parsear XML? Prueba exigida o cero tiempo → lo de pago se justifica. Ni lo uno ni lo otro, y con soltura técnica → lo gratis basta.

Tres «sí» del lado gratis, lo gratis se mantiene sin complejos. Dos o tres «sí» del lado de pago, la suscripción se amortiza. Es así de simple, y sobre todo: es una decisión que hay que tomar conscientemente, no un reflejo comercial que hay que sufrir. Para ver lo que cubre concretamente una oferta de pago y en qué nivel, nuestra página de precios detalla los planes por número de dominios.

En una frase

DMARC es gratis; lo que se paga es delegar su explotación cuando hay demasiados dominios, un ecosistema que se mueve, un equipo no técnico o una conformidad que probar — si no, un buen diagnóstico gratis y una subida de política cuidada bastan de sobra.

En todos los casos, el punto de partida es el hecho, no la suscripción. Un dominio pasa por nuestro analizador en diez segundos: el veredicto dice en qué punto está, y por tanto si un servicio de pago aportaría realmente algo. Si ese veredicto tranquiliza y el perfil es simple, la respuesta ya está ahí. Si revela un ecosistema más cambiante de lo previsto, crear una cuenta deja que Thomas, el RSSI virtual, ingiera los informes, nombre las fuentes e indique qué endurecer sin riesgo. Lo gratis responde a «¿en qué punto está el dominio?»; lo de pago responde a «¿cómo mantener esa respuesta cierta, en solitario, a lo largo del tiempo?».