SPF, DKIM y DMARC: tres cerraduras en una puerta

Por qué hace falta

El correo se diseñó en una época en la que los participantes se conocían. Por eso no lleva ninguna comprobación de quién envía un mensaje. La línea del remitente es simplemente un campo del mensaje, y ese campo lo rellena usted, igual que puede escribir lo que quiera en un sobre.

De ahí sale el fraude que más vemos en la práctica, y no es el correo de phishing suelto lleno de faltas. Es la nota correcta de un proveedor diciendo que ha cambiado el número de cuenta. O el correo del director a administración, breve y con prisa, sobre un pago que tiene que salir hoy.

Ambos funcionan porque el receptor no tiene motivo para dudar: arriba hay una dirección conocida. Y ambos se pueden evitar en el servidor que recibe, siempre que usted haya dejado registrado quién puede enviar en nombre de su dominio.

Hay otra razón para hacerlo que nada tiene que ver con la seguridad: llegar. Los grandes proveedores de correo empezaron a exigir estos registros en 2024 a quien envía en volumen. Un dominio sin DMARC acaba más a menudo en la carpeta de no deseados, y eso lo nota en sus facturas y en su boletín mucho antes de notarlo en un incidente.

SPF: quién puede enviar en su nombre

SPF es una lista. En su DNS pone una línea que dice qué servidores pueden enviar correo con su dominio como remitente. El servidor receptor mira de dónde vino el mensaje, lee su lista y comprueba si encaja.

Suena más simple de lo que es, porque esa lista casi nunca es solo su servidor de correo. Hay un programa de contabilidad que manda facturas, un servicio de boletines, un sistema de candidaturas, un sistema de tickets que manda confirmaciones y a veces un servidor viejo que nadie reconoce. Toda parte que envíe en su nombre tiene que estar dentro.

Aquí fallan dos cosas de serie:

• El límite de diez consultas. Un registro SPF puede costar como máximo diez consultas DNS. Cada servicio que añade cuenta, y una organización con un puñado de proveedores lo pasa fácilmente. Una vez pasado, la respuesta no es «no válido» sino «fallido», y eso puede afectar a su propio correo.
• La cola del registro. Si acaba en ~all, su dominio dice «el resto es sospechoso, pero entrégalo igual». Si acaba en -all, dice «el resto no es nuestro». Lo segundo es la intención, y es también lo que crea riesgo cuando su lista está incompleta.

Donde SPF se rompe de todas formas es en el reenvío. Si alguien reenvía su correo a otra dirección, lo envía su servidor, y ese servidor no está en su lista. No es un fallo que pueda arreglar; es la razón por la que SPF solo no basta.

DKIM: una firma que sobrevive al reenvío

DKIM resuelve justo eso. En lugar de mirar de dónde viene un mensaje, le pone una firma. Su servidor firma los mensajes salientes con una clave privada; la clave pública correspondiente está en su DNS. El receptor la recoge y comprueba si la firma encaja con el contenido.

La ventaja es que la firma va pegada al mensaje y no al servidor. Si el correo se reenvía, la firma viaja con él y sigue cuadrando. Si el contenido se altera por el camino, deja de cuadrar, que es exactamente lo que quiere saber.

Lo que hay que vigilar aquí:

• Cada parte que envía firma por separado. Su servicio de boletines tiene su propia clave bajo su propio selector. Un único registro DKIM que lo cubra todo no existe.
• Longitud de clave. Algunas instalaciones antiguas siguen en 1024 bits. Las claves nuevas van a 2048.
• Sustituirlas forma parte del trabajo. Una clave que lleva diez años ahí es una clave que ya no gestiona nadie. Es el mismo razonamiento que en gestión de claves.

SPF y DKIM juntos cubren casi todos los casos. Lo que ninguno hace es decir qué debe pasar cuando algo sale mal. Emiten un veredicto y dejan que el receptor adivine.

DMARC: el registro del que sí sale algo

DMARC es la capa de encima, y es el único de los tres del que un servidor receptor saca una instrucción. Dice dos cosas: qué quiere que se haga con el correo que no pasa SPF ni DKIM, y adónde deben ir los informes.

Hay tres posiciones y corresponde recorrerlas en este orden:

• Observar. No haga nada, pero mándeme cada día un resumen de quién ha enviado en nombre de mi dominio. Aquí se empieza y no puede hacer daño.
• Cuarentena. Lo que no cuadra va a la carpeta de no deseados. El correo sigue llegando, pero no a la bandeja de entrada.
• Rechazar. Lo que no cuadra se rechaza y no llega a ningún sitio. Este es el objetivo, y es también la posición en la que un proveedor olvidado se hace visible porque su correo desaparece.

Hay una sutileza que se pasa por alto a menudo. DMARC no solo mira si SPF o DKIM pasan, sino también si el dominio que pasa es el mismo que ve el lector. Un servicio de boletines que envía y firma con su propio dominio pasa SPF y DKIM y aun así suspende DMARC. Por eso hay que configurar esos servicios para que envíen desde su dominio; casi todos los proveedores tienen un ajuste para ello.

Los informes diarios que recibe son XML y no se leen a mano. Hay servicios que los convierten en un resumen legible, y merecen la inversión: sin esos informes das el último paso a ciegas.

El orden en que se activa

La mayoría de los textos sobre esto van de los registros. El trabajo de verdad está en las semanas intermedias, y ahí es donde se tuerce cuando alguien quiere despacharlo en una tarde.

Así lo hacemos nosotros:

• Semana uno: inventariar y observar. Poner SPF y DKIM para las partes que conoce, DMARC en observación. Todavía no cambia nada en la entrega.
• Semanas dos a cuatro: leer los informes. Aquí sale la lista de qué más envía en su nombre. Siempre es más de lo que nadie creía: una tienda antigua, el programa de registro horario, un servicio de marketing de una campaña de hace dos años.
• Semana cuatro: ordenar y conectar. Lo que quiera conservar se conecta bien a su dominio. Lo que nadie reconoce se apaga, y eso suele ser la mitad.
• Semana cinco: cuarentena. Pase a la posición intermedia y siga leyendo los informes. Lo que se le escapó se anuncia ahora, con un compañero diciendo que sus correos de confirmación están en spam.
• Solo entonces: rechazar. Si en dos semanas no aparece nada nuevo en los informes, esto es un no acontecimiento. Si lo hace antes, no lo es.

Cuenta con seis a ocho semanas de principio a fin, y la mayor parte es esperar y leer. Eso no es lento; es lo que separa un dominio cerrado de un dominio cuyas facturas dejan de llegar.

Y ponga después un recordatorio. Todo servicio nuevo que empiece a enviar en su nombre (un sistema de personal nuevo, otro proveedor de boletines) hay que añadirlo, y el día que alguien lo olvide su correo no llegará.