Estimado/a cliente/a,

Mediante este manual queremos enseñarle que es el SPF, DKIM y DMARC para mejorar la entregabilidad de sus correos y como corregirlo en caso de que a otros proveedores no les guste su configuración. Cuando usted manda un correo, sea desde webmail o un gestor de correo, este va firmado con una serie de firmas/parámetros que verifican la autenticidad y titularidad del dominio.

Antiguamente Internet era un caos, cualquiera podía enviar un correo sin autenticar y el phising (Aunque en menor medida hoy también) era el pan de cada día. Para luchar contra ello, ✅ se crearon el SPF, DKIM y DMARC ✅. Vamos a explicar brevemente que son:

• SPF (Sender Policy Framework) es un método para verificar si un servidor de correo está autorizado para enviar correos en nombre de un dominio en particular.

• DKIM (DomainKeys Identified Mail) es un sistema de autenticación que utiliza firmas digitales para asegurar la integridad de los mensajes de correo electrónico y verificar su origen.

• DMARC (Domain-based Message Authentication, Reporting, and Conformance) es un protocolo que combina SPF y DKIM para proporcionar una mayor seguridad. Permite establecer políticas de manejo de mensajes no autenticados y recibir informes sobre el tráfico de correo electrónico que no pasa las verificaciones de autenticidad.

Como configurar el SPF #

Cuando damos de alta un dominio en Plesk o cPanel, por defecto, se crea un registro TXT con la siguiente estructura:

v=spf1 ip4:142.250.200.142 include:spf.profesionalhosting.com -all

• v=spf1 > Inicia el TXT indicando el protocolo que se emplea

• ip4: Permite indicar que IP’s están autorizadas a enviar. Por defecto, la IP de su servidor.

• include: > En este caso, estamos permitiendo a ProfesionalHosting enviar correos en su nombre, sobre todo para los envíos hechos desde el relay o relay masivo. Este subdominio aglutina o recoge cientos de rangos de IP autorizadas, a modo resumen.

• -all > El símbolo delante de ‘all’, es decir, el ‘-‘ indica como directiva que nadie más puede enviar correos en su nombre, es posible que a veces pueda verlo como ‘~’ que lo que indica es que no es tan restrictiva la política y que si una IP manda un correo que no está habilitado, lo mande pero ya va tachado de ‘peligroso’ ó ‘sospechoso’ cuanto menos.

IMPORTANTE: 🛑 Si queremos añadir una IP al SPF, no hay que crear otro registro TXT aparte 🛑, solo es necesario editar el actual y añadir otro ip4: o include al mismo SPF. Que exista más de un SPF como TXT en la zona dns puede hacer que su correo no funcione con normalidad.

Como configurar el DKIM #

Al igual que el SPF, se trata de otro registro TXT en la Zona DNS del dominio. Este permite cifrar los correos que enviamos con llaves criptográficas. Cada mensaje firmado contiene una firma digital en el encabezado del correo que está vinculada al dominio del remitente. Lo que garantiza la integridad del contenido y la autenticidad del remitente. Un ejemplo podría ser:

Pueden haber múltiples ‘selectores’, en este caso, el de por defecto se crea con ‘defaul._domainkey.’ y la llave. Es posiblemente que otros proveedores de correo le indiquen que tenga que añadir otro selector con una llave, por ejemplo Mailchimp, podría ser:

mandrill._domainkey.profesionalhosting.es

Simplemente sería añadir un nuevo TXT con selector mandrill._domainkey y con el valor que Mailchimp, u otro proveedor, le proporcione.

Como configurar el DMARC #

El último pero no menos importante. Es un protocolo que combina SPF y DKIM para proporcionar una mayor seguridad. Permite establecer políticas de manejo de mensajes no autenticados y recibir informes sobre el tráfico de correo electrónico que no pasa las verificaciones de autenticidad. Un ejemplo sería:

v=DMARC1; p=none; rua=mailto:reportes@profesionalhosting.es; ruf=mailto:fallas@profesionalhosting.es; fo=1

• «v=DMARC1» indica la versión del protocolo DMARC que se utiliza.

• «p=none» especifica la política de DMARC a aplicar. En este caso, «none» indica que no se tomará ninguna acción específica en los mensajes que no pasen la autenticación DMARC.

• «rua=mailto:reportes@midominio.com» define la dirección de correo electrónico donde se enviarán los reportes de retroalimentación (reportes agregados) sobre el tráfico de correo electrónico que no pasó la autenticación DMARC. Estos reportes contienen información sobre los mensajes no autenticados y ayudan a monitorear y mejorar la autenticación del dominio.

• «ruf=mailto:fallas@midominio.com» establece la dirección de correo electrónico donde se enviarán notificaciones individuales de fallas de autenticación DMARC. Estas notificaciones se envían para cada mensaje que no pasa la autenticación y pueden ser útiles para identificar problemas específicos.

• «fo=1» especifica cómo los servidores de correo deben tratar los mensajes que no pasan la autenticación DMARC. En este caso, «1» indica que los mensajes no autenticados deben ser colocados en la carpeta de spam del destinatario.

—————————————————

Es muy importante tener configurado una política de SPF y DKIM como mínimo. El DMARC es un agregado, pero no quiere decir que no sea importante.

Un saludo,
El equipo de ProfesionalHosting