Limitaciones del SPF: lo que el SPF no puede hacer
Ahora que hemos respondido a la pregunta "¿qué es un registro SPF?", debemos hablar de lo que no pueden hacer los registros del marco de directivas del remitente. La autenticación SPF proporciona el mínimo de seguridad para tus campañas de correo electrónico.
Algunas de las limitaciones que debes tener en cuenta son:
- El SPF no cifra los mensajes.
- Estos marcos no proporcionan ninguna mejora de privacidad.
- El reenvío de un correo electrónico rompe el SPF porque el reenviador se convierte en el nuevo remitente.
- Un SPF no genera informes.
- El SPF por sí solo no proporciona suficiente protección.
¿Qué necesitas saber sobre los SPF?
El uso de registros de marco de directivas de remitente indica a tu destinatario que tu mensaje no es una suplantación de identidad, spam o intento de estafa. Todas las empresas se enfrentan a retos a la hora de establecer la confianza. Cuando aumentas la confianza mediante este proceso de verificación, disminuyes la resistencia a tus mensajes. El uso de SPF también ayuda a mejorar la ciberseguridad del destinatario.
Estas son algunas cosas importantes a tener en cuenta sobre los SPF:
- Un Convenio de remitentes (SPF) es una lista de direcciones IP e instrucciones que los proveedores de servicios de Internet deben seguir al gestionar tu correo electrónico saliente.
- Tu SPF proporciona una capa de protección que hace que tus mensajes tengan más probabilidades de llegar al destinatario previsto.
- Un registro de correo electrónico SPF no cifra tus mensajes.
- Los registros SPF aparecen en las cabeceras completas de tus mensajes.
- El dominio SPF que aparece en primer lugar en el mecanismo "include" demuestra que has tomado al menos algunas precauciones mínimas para proteger tus datos personales y empresariales.
Diferencias entre SPF, DMARC y DKIM
El Grupo de Trabajo de Ingeniería de Internet publicó el protocolo SPF actual en la RFC 7208 en abril de 2014. El propósito era crear un consenso para evitar que hackers y phishers enviaran correos electrónicos que supuestamente procedían de una organización conocida y de confianza. Ese consenso se convirtió en spf1, y a partir de ese momento, v=spf1 se convirtió en el formato estándar para la declaración inicial de cada registro SPF. Sin embargo, el reenvío de un mensaje invalida el SPF. En consecuencia, han entrado en juego dos estrategias adicionales: DKIM y DMARC.
¿Qué es DKIM?
DKIM es el acrónimo de DomainKeys Identified Mail. Al igual que SPF, DKIM es un registro TXT en el DNS. Sin embargo, los registros DKIM siguen siendo válidos incluso cuando se reenvían. Las normas DKIM actuales surgieron de los esfuerzos de Yahoo! y Cisco, que habían creado cada uno sus normas de autorización de correo electrónico. Piensa en DKIM como el sello de lacre que se aplicaba antiguamente a los documentos oficiales. Estos sellos de cera eran reconocibles; si un mensaje llegaba sin sello o con un sello roto, no se consideraba digno de confianza.
Cada servidor de correo electrónico emisor tiene un DKIM de dos partes: la clave DKIM privada y una clave pública. Cada servidor receptor accede a la mitad pública de esa clave. El servidor de correo electrónico receptor realiza una búsqueda en el DNS cuando envías tu mensaje de correo electrónico. Si ese servidor de correo electrónico encuentra tu clave DKIM pública, abre la firma DKIM. Si la firma en el mensaje coincide con la firma que has publicado en tu DNS, el servidor de correo electrónico receptor considera que el mensaje es válido. Si no, el mensaje rebota, lo que significa que no llega a la bandeja de entrada del destinatario. En su lugar, es posible que no se entregue, que vaya a la carpeta de spam o a cualquier otra carpeta que el usuario haya configurado para tratar este tipo de mensajes.
El formato correcto de los registros DKIM es el siguiente:
<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1; p=\<public key>
Aquí tienes un ejemplo de clave pública DKIM en el formato correcto:
dk5182-3458._domainkey.mydomainexample.com. IN TXT "v=DKIM1\; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC1TaNgLlSyQMNWVLNLvyY/neDgaL2oqQE8T5illKqCgDtFHc8eHVAU+nlcaGmrKmDMw9dbgiGk1ocgZ56NR4ycfUHwQhvQPMUZw0cveel/8EAGoi/UyPmqfcPibytH81NFtTMAxUeM4Op8A6iHkvAMj5qLf4YRNsTkKAV;"
¿Qué hace cada parte de un registro DKIM?
En este ejemplo, dk5182-3458 representa el selector (s=). La (d=) representa el dominio especificado, mydomainexample.com. La versión debe aparecer siempre como "v=DKIM1'' en cada registro DKIM. El mecanismo "p" representa el código público, una cadena de letras, números y símbolos.
¿Qué es DMARC?
DMARC son las siglas de Domain-based Message Authentication, Reporting & Conformance [Conformidad, elaboración de informes y autenticación de mensajes basados en el dominio]. DMARC previene las actividades maliciosas bloqueando los mensajes de los falsificadores antes de que lleguen a tu bandeja de entrada. Los falsificadores se hacen pasar por ti para obtener información que pueden utilizar para el robo de identidad u otros tipos de fraude.
Cuando se utiliza DMARC, se cierra la puerta a estos intentos de intrusión. DMARC utiliza código abierto y gratuito. Sin embargo, tu proveedor de servicios de correo electrónico también debe utilizar la protección DMARC. DMARC proporciona una tercera capa de protección después de SPF y DKIM.
DMARC te permite indicar a tu proveedor de servicios de correo electrónico si debes rechazar o poner en cuarentena los correos electrónicos de fuentes no fiables o desconocidas basándose en la información recibida tras las consultas DKIM y SPF.
