Configurar SPF, DKIM y DMARC para evitar la suplantación sin bloquear el correo legítimo

## Decidir quién aprueba los cambios de DNS del correo y cómo deshacerlos Trate la autenticación del correo electrónico como infraestructura compartida. Un cambio de registro puede afectar al correo transaccional, los sistemas de asistencia, el marketing, las herramientas internas y los terceros que utilizan el mismo dominio. - Identifique los dominios y subdominios de envío, los dominios From visibles y los flujos de correo críticos para la empresa que estén incluidos en el alcance. - Designe a un responsable del dominio que rinda cuentas y a un operador de DNS autorizado. - Separe las funciones de quien propone, revisa, aprueba, publica, valida y supervisa cada cambio. - Registre los valores actuales de DNS, el tiempo de vida, las dependencias y un valor de reversión probado. - Programe los cambios cuando los responsables de los flujos críticos puedan observar los resultados. - No edite el DNS de producción sin autorización explícita y un plan de recuperación. - Detenga el aumento de exigencia cuando el inventario de remitentes o las pruebas de responsabilidad estén incompletos. ## Enumerar todos los servicios que envían correo con su dominio Elabore el inventario de remitentes antes de escribir los registros de autenticación. Omitir un servicio legítimo puede hacer que la aplicación de políticas bloquee correo deseado, mientras que una autorización obsoleta amplía la superficie de suplantación. - Enumere cada plataforma, aplicación, retransmisor, dispositivo y proveedor que envíe utilizando el dominio. - Registre su remitente del sobre, el dominio From visible, el dominio de firma, la propiedad de la IP y el equipo responsable. - Distinga a los remitentes directos de las rutas de reenvío, listas de correo y pasarelas. - Indique qué fuentes pueden firmar con DKIM y cuáles dependen de la alineación SPF. - Elimine las fuentes retiradas solo después de confirmar que ya no envían tráfico legítimo. - Considere aislar en subdominios dedicados los grupos con distintos riesgos o responsables. - Mantenga el inventario vinculado con los registros de cambios y los informes de autenticación. ## Escribir un único registro SPF correcto que incluya a todos los remitentes SPF autoriza los sistemas que pueden utilizar un dominio en el remitente del sobre. Evalúa la fuente que establece la conexión; no firma el contenido ni autentica por sí solo la dirección From visible. - Publique exactamente una política SPF para cada nombre de host que la necesite. - Combine todos los remitentes legítimos en esa política en vez de crear registros SPF duplicados. - Utilice únicamente los mecanismos y las inclusiones include admitidos por los servicios de envío responsables. - Mantenga los mecanismos que consultan DNS dentro del límite de 10 consultas de SPF durante la evaluación. - Elimine las inclusiones include redundantes y los remitentes sin uso antes de acercarse al límite. - Elija deliberadamente el mecanismo final all y endurézcalo solo después de demostrar la cobertura. - Valide la sintaxis, las rutas de expansión, el número de consultas y los resultados de remitentes representativos. ## Activar la firma DKIM en cada servicio de envío DKIM permite que un remitente firme con una clave privada contenido seleccionado del mensaje, mientras los receptores obtienen de DNS la clave pública correspondiente. Una firma válida demuestra que el contenido firmado se conservó durante el tránsito e identifica el dominio firmante. - Genere un selector y un par de claves independientes según el método admitido por cada remitente. - Prefiera claves robustas, como las de 2048 bits, cuando las admitan tanto el remitente como el servicio DNS. - Publique el registro exacto de la clave pública en la ubicación del selector especificada por el remitente. - Proteja las claves privadas y nunca las coloque en DNS, incidencias, documentos compartidos ni registros. - Active la firma solo después de que el registro público se resuelva correctamente. - Envíe una prueba real y verifique el selector, el dominio firmante, el resultado de la firma y la cobertura de encabezados. - Planifique la rotación de claves mediante selectores para poder verificar una clave nueva antes de retirar la anterior. ## Empezar DMARC en modo de solo observación y leer sus informes DMARC evalúa si el dominio From visible está alineado con una identidad SPF o DKIM que haya superado la autenticación y, después, aplica la política publicada por el responsable del dominio. Una autenticación correcta sin alineación puede seguir incumpliendo DMARC. - Confirme que cada flujo legítimo se alinee mediante SPF, DKIM o ambos. - Determine si la alineación relajada o estricta se ajusta a la estructura y al riesgo del dominio. - Publique un registro DMARC en el nombre de host exigido para la política, con un destino de informes autorizado. - Empiece con una política de supervisión mientras identifica fuentes legítimas y no autorizadas. - Proteja los buzones de informes y limite su acceso, porque los informes pueden revelar detalles de la infraestructura. - Clasifique los fallos por fuente, resultado de autenticación, alineación, volumen y responsable empresarial. - No pase a la aplicación obligatoria hasta haber tenido en cuenta los flujos legítimos importantes. ## Endurecer DMARC paso a paso sin bloquear el correo legítimo Pase de la observación a la cuarentena y el rechazo solo cuando las pruebas demuestren que el correo legítimo permanece alineado. La aplicación obligatoria es una decisión de control de riesgos, no una tarea puntual de formato de DNS. - Defina criterios de tasa de aprobación, fuentes desconocidas e impacto empresarial para cada etapa. - Corrija los fallos legítimos antes de aumentar la severidad de la política. - Utilice un porcentaje limitado de aplicación obligatoria cuando sea compatible y útil para reducir el riesgo. - Supervise los informes agregados, los errores de entrega, las incidencias de asistencia y el estado de los flujos críticos después de cada cambio. - Mantenga preparada una política de reversión documentada durante toda la transición. - Obtenga la aprobación del responsable antes de aumentar la aplicación obligatoria o cambiar el modo de alineación. - Deténgase e investigue si el correo legítimo se rechaza, se pone en cuarentena o aparece inesperadamente sin autenticar. ## Revisar los registros DNS y correos de prueba reales tras cada cambio Confirme tanto la publicación de los registros como el comportamiento real del correo. Un registro DNS con sintaxis válida no demuestra que todos los remitentes lo utilicen ni que la alineación DMARC se complete correctamente. - Consulte el DNS autoritativo para SPF, los selectores DKIM y DMARC después de la propagación. - Compruebe si hay registros duplicados, valores truncados, nombres de host incorrectos y políticas heredadas no deseadas. - Envíe pruebas por cada ruta de producción representativa a varios entornos receptores. - Examine los encabezados del mensaje para comprobar SPF, DKIM, DMARC, los dominios, los selectores y los resultados de alineación. - Pruebe tanto mensajes ordinarios como variantes importantes, por ejemplo correo reenviado o retransmitido. - Registre la ruta de prueba, la marca de tiempo, el resultado, las pruebas y el revisor. - Repita la validación después de cualquier cambio de remitente, DNS, enrutamiento o firma. ## Encontrar con pruebas la causa de los fallos de SPF, DKIM o DMARC Diagnostique a partir de los resultados de autenticación, las respuestas DNS, los encabezados de los mensajes y el historial de cambios. No siga editando registros hasta que una prueba pase por casualidad. - Para los errores permanentes de SPF, examine las políticas duplicadas, la sintaxis, las inclusiones include recursivas y el límite de 10 consultas. - Para los fallos de DKIM, examine los nombres de los selectores, el material de claves copiado, el estado de la firma, la canonicalización y la modificación del mensaje. - Para los fallos de DMARC, compare el dominio From visible con las identidades SPF y DKIM. - Para el correo legítimo bloqueado, identifique la fuente exacta antes de relajar la política. - Revierta el cambio responsable más pequeño cuando un flujo de producción resulte perjudicado. - Vuelva a probar la ruta con fallos y una ruta de control no afectada después de cada corrección. - Conserve las pruebas de la causa y la solución para futuros cambios. ## Vigilar rebotes y correos que caen en spam, no solo la autenticación SPF, DKIM y DMARC reducen el abuso de identidad y satisfacen comprobaciones importantes de los receptores, pero no garantizan la llegada a la bandeja de entrada. La reputación y la respuesta de los destinatarios siguen siendo señales independientes. - Supervise las tasas de autenticación correcta junto con los rechazos, los aplazamientos, la llegada a correo no deseado, las quejas y los rebotes. - Mantenga listas de destinatarios exactas y elimine las direcciones no válidas o que fallen de forma persistente. - Mantenga el volumen y los patrones de envío acordes con la reputación establecida del dominio. - Utilice una identidad de remitente veraz, contenido pertinente y una forma clara de dejar de recibir correo no esencial. - Investigue los cambios repentinos por dominio, flujo, receptor, contenido y evento de despliegue. - No trate la actividad de calentamiento ni una comprobación de autenticación superada como prueba de una reputación saludable. - Detenga los flujos de riesgo cuando las pruebas demuestren un perjuicio continuado. ## Revisar los remitentes y cambiar las claves DKIM con una frecuencia fija La autenticación se deteriora cuando cambian los servicios, envejecen las claves, se marchan los responsables o nuevos remitentes eluden la revisión. Manténgala como un control periódico en vez de como un proyecto de configuración terminado. - Revise el inventario de remitentes, los registros DNS, los informes DMARC y las responsabilidades con una periodicidad definida. - Rote los selectores y las claves DKIM mediante un periodo de solapamiento que conserve las firmas válidas. - Vuelva a validar el número de consultas SPF cuando cambie una inclusión include o un servicio de envío. - Haga seguimiento de los cambios de política, las aprobaciones, los valores publicados, las pruebas de validación y los resultados de reversión. - Genere alertas ante nuevas fuentes, descenso de las tasas de aprobación, ausencia de informes y fallos repentinos de alineación. - Elimine las autorizaciones obsoletas tras confirmar que el flujo correspondiente está inactivo. - Reevalúe los límites de los subdominios y la aplicación obligatoria cuando cambien el riesgo, el volumen o el uso empresarial.