Multimarca, multidominio: la gobernanza DMARC
Por Thomas · CISO virtual · 30 de agosto de 2026
Un grupo con treinta marcas, doscientos dominios y equipos de marketing autónomos que eligen sus herramientas sin consultar a nadie: a esa escala, la autenticación del correo cambia de naturaleza. En un dominio único, DMARC es un proyecto técnico —unas semanas de observación, una remediación, una política endurecida—. En un parque entero, es un programa de gobernanza: sin inventario, sin responsables nombrados, sin proceso de entrada, cada configuración correcta se degrada exactamente al ritmo al que las marcas firman nuevos contratos de envío.
Los síntomas se reconocen enseguida. Un p=reject ejemplar en el dominio histórico y nada en absoluto en los dominios de las filiales; dominios defensivos comprados para proteger las marcas y dejados abiertos de par en par; una plataforma de emailing conectada un viernes por una agencia, que rompe la alineación de una marca entera; un equipo de seguridad central que descubre la existencia de un dominio el día en que alguien lo suplanta. Ninguno de estos problemas es criptográfico. Todos son organizativos.
Esta guía despliega el método que aguanta a escala: una tipología del parque con una política objetivo por categoría, un zócalo organizativo —registro, responsables, proceso—, una industrialización del DNS, una trayectoria p=reject por oleadas, indicadores de pilotaje, y lo que DMARCbis simplifica de paso para los subdominios.
El problema de escala: la autenticación no sobrevive a la improvisación
La dificultad no crece linealmente con el número de dominios; crece con el número de decisiones descentralizadas. Cada marca tiene su agencia, su CRM, su plataforma de marketing, a veces su propio registrador heredado de una adquisición. Doscientos dominios multiplicados por un puñado de proveedores de envío cada uno componen un ecosistema que nadie conoce por completo — y DMARC castiga precisamente lo que la organización ignora: una fuente legítima ausente de SPF, o que envía sin firma DKIM alineada, se convierte en un falso positivo en cuanto la política se endurece.
El inventario de los remitentes terceros es el gesto fundacional a escala de un dominio. A escala de un grupo, un inventario puntual queda obsoleto al mes siguiente: tiene que convertirse en un proceso permanente, apoyado en un registro y en reglas de entrada. Esa es toda la diferencia entre una auditoría y una gobernanza — la primera fotografía, la segunda impide la deriva. El resto del método se deduce de esta constatación.
La tipología del parque: cuatro categorías, cuatro políticas objetivo
Tratar doscientos dominios uno a uno es inmanejable. Clasificarlos en categorías vuelve el problema finito, porque cada categoría reclama una única política objetivo — y la decisión se toma entonces una vez por categoría, no doscientas veces.
- Los dominios de envío activos. Los que realmente llevan correo: la marca principal, las newsletters, los flujos transaccionales, la facturación. A menudo una minoría del parque, y la única categoría que exige un verdadero trabajo de remediación. Objetivo: SPF y DKIM alineados para cada proveedor, y después
p=reject. - Los dominios de marca defensivos. Variantes tipográficas, otras extensiones, marcas registradas sin sitio web: comprados para que ningún tercero los tome, no enviarán jamás un mensaje. Objetivo inmediato: bloqueo completo, sin fase de observación — no hay nada que observar.
- Los dominios aparcados o durmientes. Campañas terminadas, proyectos abandonados, nombres «por si acaso». El mismo bloqueo que los defensivos, con un matiz: un procedimiento de reactivación documentado, para el día en que el marketing saque un nombre del cajón.
- Los dominios técnicos. Dominios de rebote, de tracking, subdominios de infraestructura: envían a veces, pero bajo el control de un proveedor identificado. Objetivo: cubiertos explícitamente, sea por la política del dominio organizativo, sea por sus propios registros — nunca «olvidados por ser técnicos».
El bloqueo de un dominio que no envía nada cabe en tres registros:
ejemplo.net. MX 0 .
ejemplo.net. TXT "v=spf1 -all"
_dmarc.ejemplo.net. TXT "v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:informes@ejemplo.es"
El razonamiento completo —por qué un dominio que no envía nada merece la política más estricta de todas— se despliega en la protección de los dominios aparcados. A escala de parque, esta categoría es un regalo: una buena parte del camino hacia un parque «todo reject» se recorre sin riesgo alguno, puesto que no hay nada que romper.
El zócalo organizativo: un registro, responsables, un proceso
La pieza maestra de la gobernanza no es un registro DNS; es un registro central de dominios. Para cada entrada: el nombre, su categoría en la tipología, el registrador, la zona DNS que lo aloja, la política actual, la política objetivo, la lista de proveedores de envío autorizados y la fecha de la última revisión. La herramienta importa poco —una hoja de cálculo basta para empezar— con tal de que sea única, esté al día y sea oponible: lo que no está en el registro no existe oficialmente, y lo que existe sin estar en el registro es una anomalía que tratar.
Segundo pilar: un responsable nombrado por dominio. Una persona, no «el equipo de marketing» — los equipos se reorganizan, las personas contestan correos. El responsable es quien valida una reactivación, confirma que un proveedor sigue bajo contrato y responde en veinticuatro horas a la pregunta «¿es legítima esta fuente?» cuando una IP desconocida aparece en los informes.
Tercer pilar: el proceso «nueva herramienta de envío». Nadie —ni una marca, ni una agencia, ni una filial con prisas— conecta una plataforma de emailing sin pasar por el registro. La secuencia es corta: declarar la herramienta, publicar las claves DKIM y la inclusión SPF, probar la alineación con una muestra, anotar la entrada en el registro, y solo entonces enviar tráfico real. Mailchimp, Brevo y SendGrid documentan todos la delegación DKIM: el paso cuesta unos días cuando se anticipa, y semanas de falsos positivos cuando se descubre a posteriori. Este proceso es la única respuesta duradera al shadow IT del marketing.
El registro vive además al ritmo del parque: una fusión o adquisición trae dominios por docenas, con su historial y sus sorpresas; una expiración mal vigilada entrega un nombre de marca al primero que llegue; una reactivación sin procedimiento reabre una puerta cuidadosamente cerrada. Cada evento del ciclo de vida pasa por el registro, o la gobernanza vuelve a ser documentación muerta.
La industrialización del DNS: zonas centralizadas, delegación controlada
Una gobernanza que descansa sobre doscientas modificaciones manuales en cinco registradores distintos no sobrevivirá a su segundo año. La industrialización empieza por la centralización de las zonas: un proveedor DNS principal, cambios gestionados como código (infraestructura como código, revisión por pares, diario de cambios), y el fin de los accesos de registrador dispersos entre las marcas.
Centralizar no prohíbe la autonomía: la delegación controlada deja a las marcas el control de su presencia web —subdominios delegados, los registros A y CNAME de sus sitios—, mientras que los registros de autenticación (_dmarc, selectores DKIM, inclusiones SPF) permanecen en la zona de control del grupo. La frontera es limpia: la web se delega, la identidad de remitente no.
La herramienta más potente del lote es el CNAME hacia una zona de control. En lugar de publicar doscientas políticas individuales, cada _dmarc apunta a un pequeño número de políticas tipo mantenidas en un solo lugar:
_dmarc.ejemplo.net. CNAME bloqueado._dmarc.ejemplo.es.
bloqueado._dmarc.ejemplo.es. TXT "v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:informes@ejemplo.es"
Cambiar la dirección de recogida de los informes, o endurecer de golpe toda una clase de dominios, se convierte en una única modificación en una única zona. La mecánica resulta ya familiar por las claves DKIM de los proveedores (un CNAME hacia la zona del ESP); extenderla a las políticas DMARC es su continuación lógica, y es lo que hace pilotable un parque de doscientos dominios con un equipo pequeño.
La trayectoria p=reject: por oleadas, nunca en big bang
Endurecer doscientos dominios de golpe garantiza un incidente; endurecerlos uno a uno, sin orden, garantiza no terminar nunca. La trayectoria sensata procede por oleadas, cada una lo bastante pequeña para vigilarla de cerca y lo bastante representativa para hacer madurar el método.
- Oleada piloto. Dos o tres dominios de envío con apuestas moderadas, llevados por un equipo voluntario. El objetivo no es el volumen protegido, es el rodaje: las herramientas, los informes, el circuito de decisión con los responsables.
- Marcas principales. El mayor valor de suplantación, pero también el mayor número de proveedores y, por tanto, la remediación más larga. El método rodado en el piloto se aplica dominio a dominio, con el proceso «nueva herramienta» ya en vigor para que no siga entrando arena mientras se vacía el mar.
- Larga cola. Los pequeños dominios de envío restantes, tratados en serie con una lista de comprobación ya probada.
En paralelo, y desde el primer día, los defensivos y los aparcados pasan directamente al bloqueo — no hay ninguna razón para esperar. Cada oleada sigue el mismo ciclo: p=none y observación, correcciones de alineación, modo de prueba declarado con la etiqueta t=y (que sustituye a la antigua subida progresiva mediante pct), y después p=reject. El ciclo es corto en un dominio limpio y largo en uno cargado de historia; esa varianza la absorbe la oleada, no el calendario global.
Los indicadores de pilotaje
Un programa plurianual sin indicadores muere en el primer cambio de prioridades. Bastan unas pocas medidas, a condición de seguirlas con regularidad.
- La parte del parque en
p=reject— el indicador de cabecera, legible por un comité de dirección sin una sola línea de explicación técnica. Su progresión trimestral cuenta todo el programa. - La cobertura del registro: la brecha entre dominios declarados y dominios descubiertos (escaneos periódicos de las zonas, de los certificados, de los depósitos de marca). Una brecha que se ensancha señala una gobernanza sorteada.
- Los terceros no alineados: el número de proveedores que envían sin alineación SPF o DKIM, por marca. Es la medida directa del trabajo de remediación pendiente.
- Las fuentes desconocidas: las alertas sobre IP nunca vistas para un dominio dado, y el plazo de calificación por parte del responsable.
- La velocidad de las oleadas: el tiempo mediano de
p=noneap=rejectpor dominio, que permite proyectar con honestidad el final del programa.
El error clásico es pilotar por volumen de correo en lugar de por número de dominios: un parque cuyos tres dominios masivos están en p=reject mientras otros ciento setenta siguen abiertos no está protegido — el suplantador elige siempre la puerta abierta.
Lo que DMARCbis simplifica para los subdominios
El estándar vigente, DMARCbis, aporta dos cambios que cuentan especialmente a escala de parque. El primero es el DNS Tree Walk: el descubrimiento de la política asciende ahora por el árbol DNS en lugar de apoyarse en la Public Suffix List. Los puntos de política intermedios se vuelven posibles — un grupo puede publicar una política a nivel de una marca y cubrir limpiamente los subdominios que dependen de ella, sin duplicar registros y sin depender de una lista externa que no sabía nada de la estructura interna del grupo.
El segundo es la etiqueta np, la política de los subdominios inexistentes. Permite cerrar de inmediato el espacio de nombres fantasma —los subdominios que nadie creó nunca pero que cualquiera puede invocar en un encabezado From:— sin esperar a que los subdominios reales estén listos para el endurecimiento:
_dmarc.ejemplo.es. TXT "v=DMARC1; p=quarantine; sp=quarantine; np=reject; rua=mailto:informes@ejemplo.es"
Junto con el modo de prueba t=y en sustitución de pct, el resultado es un control más fino y más legible que antes sobre la descendencia de cada dominio. La articulación completa entre la política del dominio organizativo, sp y np se detalla en la guía de la política de subdominios — lectura útil antes de fijar las políticas tipo de la zona de control.
En resumen
A escala de un grupo multimarca, DMARC deja de ser un proyecto técnico y se convierte en un programa de gobernanza. La tipología del parque —activos, defensivos, aparcados, técnicos— da una política objetivo por categoría; el registro central, los responsables nombrados y el proceso «nueva herramienta de envío» impiden la deriva; el DNS centralizado y los CNAME hacia una zona de control hacen el parque pilotable; la trayectoria por oleadas alcanza p=reject sin big bang; la parte del parque endurecido y los terceros no alineados miden el progreso; y DMARCbis, con el Tree Walk y la etiqueta np, simplifica lo que seguía siendo penoso del lado de los subdominios.
El punto de entrada, por su parte, no exige programa alguno: pasar los dominios clave del parque por un análisis DMARC gratuito establece en minutos el estado inicial del registro — políticas publicadas, fuentes visibles, agujeros en la red. La apertura de una cuenta permite después seguir los doscientos dominios en un mismo lugar y desplegar las oleadas, hasta el día en que el indicador de cabecera muestre un parque íntegramente en p=reject.
Guías relacionadas
- Inventariar los remitentes terceros de un dominio: el mapa antes de DMARC
Ningún proyecto DMARC sobrevive a un tercero olvidado: familias de remitentes, tres fuentes de verdad y un método para mapear los envíos antes de p=reject.
- El dominio está suplantado: la respuesta al incidente, paso a paso
Dominio suplantado: quejas de destinatarios, volumen en fallo disparado en los informes RUA, NDR en masa. Del reconocimiento del incidente a p=reject.
- Cambiar de proveedor de correo sin romper DMARC
Migrar entre Microsoft 365 y Google Workspace sin romper DMARC: SPF aditivo, DKIM verificado antes del cambio y una purga completa del proveedor antiguo.
Sobre el autor
Thomas — Thomas es el CISO virtual de DMARC.com: un copiloto especializado en la autenticación de correo que acompaña a las organizaciones de p=none hasta p=reject, sin romper su correo. Sus guías se basan en los datos reales del Observatorio DMARC y de los informes RUA analizados por la plataforma.