64%
143 de 222 empresas se pueden suplantar. Nada le pide a Gmail u Outlook que bloquee un correo que use su dominio sin autorización: o no tienen DMARC, o lo tienen solo en modo observación.
Solo el 15% rechaza los correos falsos
DMARC es el registro que le dice al receptor qué hacer con un correo que dice venir de tu dominio pero no pasa las verificaciones. Así se reparten las 222 empresas, de menos a más protección:
- Sin DMARC61 · 27%Nada le indica al receptor qué hacer con un correo falso.
- p=none82 · 37%Solo observa: el correo falso llega igual.
- p=quarantine46 · 21%El correo falso va a spam.
- p=reject33 · 15%El correo falso se rechaza.
Ver como tabla
| Política | Qué pasa con un correo falso | Empresas | % |
|---|---|---|---|
| Sin DMARC | Nada le indica al receptor qué hacer con un correo falso. | 61 | 27% |
| p=none | Solo observa: el correo falso llega igual. | 82 | 37% |
| p=quarantine | El correo falso va a spam. | 46 | 21% |
| p=reject | El correo falso se rechaza. | 33 | 15% |
Por rubro
Servicios TI
70%
81 de 116 se pueden suplantar
Software
60%
36 de 60 se pueden suplantar
Ciberseguridad
5 de 7
Una muestra demasiado chica para un porcentaje, pero el patrón se repite incluso en quienes venden seguridad.
El rubro es el que informa la fuente comercial de cada empresa. 39 empresas no traían rubro o traían otro, y cuentan solo en el total.
Otros hallazgos
- 31 empresas (14%)
- tienen un SPF con errores graves. 25 de ellas directamente no lo tienen: nada declara qué servidores pueden enviar en su nombre.
- 8 empresas
- no tienen servidores de correo configurados en su dominio.
- 55% en Google · 29% en Microsoft 365
- y el 16% restante en otros proveedores o servidores propios.
- 78% firma sus correos
- con DKIM, como mínimo. Es una cota inferior: la firma se publica con un nombre que no siempre se puede adivinar desde afuera.
Por qué importa
Suplantación. Sin DMARC que bloquee, alguien puede enviarle a tus clientes un correo con tu dominio exacto en el remitente: una factura con otra cuenta bancaria, un enlace a un portal falso. Para una empresa de tecnología, además, es un problema de credibilidad.
Entregabilidad. Desde 2024, Google y Yahoo exigen DMARC a quienes envían correo en volumen, y los filtros desconfían de los dominios que no protegen su identidad. Un dominio expuesto es también un dominio cuyos propios correos llegan menos a la bandeja de entrada.
Se corrige en una tarde. Es un registro TXT en el DNS. Lo prudente es partir en p=none para recibir reportes, confirmar que todo el correo legítimo pasa, y subir a quarantine y después a reject.
Metodología
- Fecha: 11 de septiembre de 2026.
- Muestra: 223 empresas chilenas de software, servicios TI y ciberseguridad, de 10 a 50 personas según su fuente comercial. Es la base de prospección de Ovantly, no una muestra aleatoria del mercado: las cifras describen a este grupo, no a todas las empresas del país. Una empresa no se pudo revisar por un error de DNS.
- Qué se revisó: los registros DNS públicos MX, SPF, DKIM y DMARC de cada dominio, consultados a los resolutores públicos de Cloudflare y Google. Cualquiera puede repetir la consulta.
- Cómo se clasificó: "se puede suplantar" significa que el dominio no publica DMARC o lo publica con p=none. DKIM se buscó en los selectores más comunes, así que su cifra es un mínimo.
- Privacidad: no publicamos el nombre de ninguna empresa ni el resultado de ningún dominio en particular.
- Herramienta: es el mismo motor del revisor de dominio, que puedes usar gratis con el tuyo.