Catorce años después del lanzamiento de DMARC, el protocolo de autenticación de correo electrónico diseñado para combatir el phishing y la suplantación de identidad, la mayoría de las empresas siguen sin aplicarlo de forma efectiva. Según un análisis de CipherCue sobre 67.336 dominios corporativos realizado entre abril y julio de 2026, el 68,4% carece de un registro DMARC activo o lo mantiene en modo de mera monitorización, sin capacidad real de bloqueo. El hallazgo revela que el problema ya no es tanto la ausencia del registro como la inercia que impide pasar de la observación a la imposición de políticas.
DMARC es un registro DNS gratuito que indica a los servidores de correo qué hacer con los mensajes que no superan las pruebas de autenticación del dominio del remitente. Las opciones son tres: p=none, que solo recopila informes; p=quarantine, que envía los correos sospechosos a la carpeta de spam; y p=reject, que los bloquea por completo. De los dominios analizados, 30.362 (el 45,1%) no disponen siquiera de un registro DMARC. Entre los que sí lo tienen, el grupo mayoritario —15.709 dominios, el 42,5%— permanece en p=none, una fase concebida como paso previo de pocas semanas antes de activar la protección real. Otros 10.258 (27,7%) operan en p=quarantine y únicamente 10.963 (29,7%) han llegado a p=reject, la única configuración que ofrece protección efectiva.
La investigación de CipherCue apunta a una causa más concreta que la simple ignorancia o desidia. Para avanzar de la monitorización a la imposición, los administradores deben revisar los informes agregados que el sistema genera y determinar, origen por origen, si cada fuente de envío está autorizada. Sin embargo, al analizar las direcciones de destino de esos informes (rua=) en 36.974 registros, el equipo descubrió una realidad fragmentada: aunque algunos proveedores concentran buena parte de los reportes —Proofpoint (1.605 menciones), Cloudflare (1.273) y las variantes regionales de dmarcian (más de 1.000)—, la cola larga está compuesta por direcciones aisladas, a menudo cifradas o autoalojadas, sin un proveedor identificable. Identificar cada emisor legítimo se convierte así en una tarea de investigación que muchas organizaciones postergan indefinidamente.
El estudio también mapea qué empresas gestionan la monitorización DMARC. Valimail lidera el segmento de proveedores especializados con el 12,1% de las entidades identificadas, seguida por DMARC Analyzer (6,8%), dmarcian (6,6%) y EasyDMARC (4,3%). En un nicho más amplio que incluye plataformas que reciben reportes como efecto colateral de su actividad principal —caso de Brevo, Cloudflare o Postmark—, la diversidad es aún mayor y ningún proveedor supera el 15% del mercado. Esta fragmentación refleja tanto la variedad de ofertas como la ausencia de un estándar dominante que guíe a las organizaciones en la adopción plena.
El comportamiento varía según el país. Polonia registra la mayor proporción de dominios sin ningún registro DMARC (64,6%), mientras que Reino Unido presenta la tasa más baja en esa categoría (37%). No obstante, el Reino Unido también muestra una de las cuotas más altas de dominios estancados en p=none (19,2%), lo que sugiere que tener un registro no equivale necesariamente a avanzar hacia la imposición. Estados Unidos destaca como el país con mayor proporción de dominios en p=reject (22,2%), un dato coherente con la presión regulatoria y la mayor concienciación sobre ciberataques en ese mercado.
El panorama que dibuja CipherCue no es representativo del total de empresas mundiales —se trata de una muestra de su conjunto de entidades monitorizadas—, pero sí ilustra una tendencia sostenida: la implantación de DMARC se ha detenido en una fase de monitorización pasiva. Mientras el protocolo siga siendo opcional y su activación efectiva requiera un trabajo técnico minucioso, los atacantes seguirán aprovechando dominios legítimos para distribuir phishing y suplantar la identidad de marcas reconocidas. La pregunta abierta es si la presión regulatoria, los requisitos de socios comerciales o los propios incidentes de seguridad forzarán por fin el salto de p=none a p=reject en la mayoría de las organizaciones.