A partir del 16 de abril de 2026, DMARC contribuirá a la Calificación de Seguridad de Bitsight por primera vez, con un peso del 1% en la actualización anual del algoritmo de la plataforma. Para las empresas que han tratado DMARC como algo "opcional", esa postura ahora tiene un costo medible en una puntuación en la que aseguradoras, proveedores y consejos de administración confían para evaluar el riesgo cibernético.
Qué Cambió y Por Qué Importa
DMARC ahora contribuirá a la Calificación de Bitsight con un peso del 1%, reasignado desde la categoría de Sistemas Comprometidos. Esto completa la tríada de vectores de riesgo fundamentales basados en correo electrónico: dominios del Marco de Política de Remitente (SPF), registros de Correo Identificado por Claves de Dominio (DKIM) y DMARC.
Las calificaciones de DMARC ya eran visibles dentro de la plataforma de Bitsight, pero antes de esta actualización no tenían impacto en la calificación general. DKIM y SPF tienen un peso del 1% cada uno, y las organizaciones que implementan políticas de DMARC ahora verán esa inversión reflejada directamente en su Calificación de Bitsight.
La Actualización del Algoritmo de Calificaciones de Bitsight 2026 estará disponible para vista previa a partir del 16 de abril. Para garantizar transparencia y dar tiempo a las organizaciones para prepararse, Bitsight proporciona una ventana de vista previa de tres meses antes de que la actualización entre en vigor.
Los riesgos aquí van mucho más allá de un único punto porcentual. Desde las salas de juntas hasta las agencias de crédito, aseguradoras hasta reguladores, y oficiales de cumplimiento hasta analistas de SOC, las Calificaciones de Seguridad de Bitsight están tejidas en el tejido del comercio global. El sistema de calificación de la plataforma se correlaciona con la probabilidad de brechas y es ampliamente utilizado por aseguradoras e instituciones financieras. Para equipos de marketing y crecimiento, esto significa que una postura débil de DMARC ahora puede afectar indirectamente las primas de seguros cibernéticos, aprobaciones de proveedores y decisiones de adquisición, no solo la entrega de correo electrónico.
Qué Hace Realmente DMARC
DMARC es un protocolo de autenticación de correo electrónico que se basa en SPF y DKIM al dar a los propietarios de dominios mayor control sobre la autenticación de correo electrónico, incluida la capacidad de requerir que SPF o DKIM pasen para que el correo electrónico se considere autenticado, especificar qué acción deben tomar los servidores de correo cuando falla la autenticación (como rechazar o poner en cuarentena el mensaje), y solicitar estadísticas de autenticación de los servidores de correo receptores para revisar la efectividad de su implementación.
Para especialistas en marketing por correo electrónico, esto tiene una dimensión directa de entregabilidad. Los especialistas en marketing se dan cuenta de que DMARC no solo mejora la seguridad sino que también mejora la entregabilidad del correo electrónico. Cuando los ISP ven que un remitente tiene una sólida postura de autenticación, es menos probable que las campañas legítimas se marquen como spam, lo cual es crítico para el éxito del marketing por correo electrónico.
La Brecha de Adopción que Crea Riesgo
El desafío es que la mayoría de las organizaciones aún no han alcanzado la aplicación completa de DMARC. La adopción de DMARC entre dominios principales aumentó del 27,2% al 47,7% entre 2023 y 2025, un aumento del 75% en dominios protegidos, con políticas de aplicación (cuarentena y rechazo) creciendo un 50% durante este período. Ese crecimiento suena alentador, pero los detalles de aplicación cuentan una historia diferente.
La adopción válida de DMARC creció de 523.921 dominios en 2023 a 858.782 en 2025 y 937.931 a principios de 2026. Sin embargo, p=none sigue siendo la política más común a nivel mundial, y muchas organizaciones aún utilizan DMARC principalmente para visibilidad en lugar de protección activa. En 2026, 525.996 dominios permanecieron en p=none.
Una política p=none genera datos de informes pero no hace nada para bloquear correo electrónico falso o no autenticado. Un análisis de los 10 millones de dominios de internet principales encontró que solo el 22,9% de los dominios que envían datos de informes de DMARC a sí mismos tienen una política de rechazo de DMARC. Bajo la nueva puntuación de Bitsight, una configuración p=none probablemente recibirá una calificación más baja que una política completamente aplicada p=reject, lo que significa que la brecha de calificación entre organizaciones que han implementado la aplicación y aquellas que no lo han hecho está a punto de hacerse visible en una puntuación externa.
Cómo Bitsight Calificará DMARC
Solo los dominios con criterios específicos generarán un hallazgo de DMARC: dominios protegidos por un registro de DMARC, y dominios no protegidos por un registro de DMARC que están asociados con un registro MX. Si un registro MX está presente y no hay ningún registro de DMARC configurado, esto da como resultado un hallazgo con el problema "El registro no existe" y una calificación Mala.
Para entidades que no tienen dominios asociados, SPF y DKIM ahora tendrán por defecto N/A y no tendrán impacto negativo en la calificación. Anteriormente, estas entidades recibían calificaciones predeterminadas a pesar de no tener dominios para evaluar.
Al medir DMARC junto con SPF y DKIM, Bitsight fortalece la capacidad de la Calificación para exponer protecciones basadas en evidencia contra falsificación y phishing, proporcionando a los equipos de seguridad y riesgo un indicador más claro y procesable para demostrar una postura mejorada de seguridad de correo electrónico.
Qué Deben Hacer Ahora los Especialistas en Marketing por Correo Electrónico y Propietarios de Negocios
La ventana de vista previa es una oportunidad práctica para cerrar la brecha antes de que las puntuaciones cambien. Aquí hay los pasos más relevantes para equipos de marketing y crecimiento:
- Audita tu registro de DMARC actual. Verifica si tus dominios de envío tienen un registro de TXT
_dmarcválido en DNS. Herramientas como MXToolbox pueden verificar esto en segundos. - Ve más allá de
p=none. Una política de solo monitoreo no obtendrá una calificación fuerte de Bitsight. Trabaja haciap=quarantineop=rejectconpct=100. Se requiere una política activa usandop=rejectop=quarantineque actúe sobre todos los fallos de autenticación conpct=100para la mejor calificación posible. - Verifica todos los dominios de envío, incluidos los dominios que no son de correo electrónico. Bitsight busca registros SPF configurados correctamente para todos los dominios de una organización, incluso aquellos no utilizados para enviar correo electrónico, porque los actores de amenazas pueden intentar falsificar correo electrónico de un dominio incluso si la organización no lo usa para correo electrónico.
- Informa a los interesados antes de que termine el período de vista previa. Muchas organizaciones comparten su Calificación de Bitsight con proveedores, socios, consejos de administración y aseguradoras. El período de vista previa es una oportunidad para informar a estos interesados y garantizar alineación.
Los datos más amplios son claros sobre por qué esto importa. Los países con requisitos obligatorios de DMARC muestran patrones de ataque de phishing dramáticamente diferentes. EE.UU. redujo la entrega exitosa de phishing del 69% al 14%, mientras que países sin mandatos de aplicación como los Países Bajos vieron aumentar la vulnerabilidad al 97%. Para cualquier organización que gestiona marketing por correo electrónico a escala, el argumento comercial para la aplicación de DMARC es ahora tanto un argumento de seguridad como un argumento de calificación.
