Sender Policy Framework (SPF)
Para qué sirve: SPF es un mecanismo que permite a los propietarios de
dominios especificar qué servidores de correo están autorizados a enviar
correos electrónicos en su nombre.
Características:
- Autenticación: SPF autentica los correos electrónicos verificando la
dirección IP del remitente contra una lista de servidores autorizados.
- Prevención de Spoofing: Ayuda a prevenir el spoofing de direcciones de
correo electrónico.
- Registro DNS: Utiliza registros DNS TXT para especificar los servidores
autorizados.
- Rechazo de correos no autorizados: Si un correo electrónico se envía desde
un servidor no autorizado, puede ser rechazado o marcado como spam.
DomainKeys Identified Mail (DKIM)
Para qué sirve: DKIM permite a los destinatarios verificar que un correo
electrónico fue realmente enviado y autorizado por el dominio del
remitente. Esto se hace mediante una firma digital incluida en el
encabezado del correo.
Características:
- Firma Digital: Añade una firma digital a los correos electrónicos que se
puede verificar mediante una clave pública en el DNS.
- Integridad del Mensaje: Garantiza que el contenido del correo no ha sido
alterado durante el tránsito.
- Registro DNS: Utiliza registros DNS para publicar la clave pública que los
receptores utilizan para verificar la firma.
- Verificación de Dominio: Ayuda a confirmar que el correo proviene del
dominio indicado.
Domain-based Message Authentication, Reporting & Conformance (DMARC)
Para qué sirve: DMARC es un mecanismo que permite a los propietarios de
dominios definir una política para los correos no autenticados. Combina
tanto SPF como DKIM y proporciona una manera de informar a los
remitentes sobre los correos electrónicos fallidos.
Características:
- Política de Autenticación: Define qué acción debe tomar el receptor
(rechazar, cuarentena, etc.) si un correo no pasa las verificaciones de SPF y
DKIM.
- Informes: Permite a los propietarios de dominios recibir informes sobre los
mensajes que pasan o fallan las verificaciones.
- Mejora de la Seguridad: Ayuda a identificar y prevenir el abuso de dominio
y el phishing.
- Registro DNS: Utiliza registros DNS para especificar las políticas y
direcciones de informe.
Diferencias entre SPF, DKIM y DMARC
- Propósito:
- SPF: Verifica la dirección IP del remitente.
- DKIM: Verifica la integridad del mensaje y su autenticidad mediante
firmas digitales.
- DMARC: Define políticas para correos no autenticados y combina SPF y
DKIM.
- Método de Verificación:
- SPF: Usa la dirección IP contra una lista de servidores autorizados.
- DKIM: Usa una firma digital en el encabezado del correo.
- DMARC: Requiere que el correo pase SPF y/o DKIM y define acciones
basadas en los resultados.
- Registro DNS:
- SPF: Utiliza registros TXT para especificar servidores autorizados.
- DKIM: Utiliza registros TXT para publicar claves públicas.
- DMARC: Utiliza registros TXT para definir políticas y direcciones de
informe.
- Informes y Políticas:
- SPF: No proporciona informes detallados ni define políticas específicas
más allá de la autenticación básica.
- DKIM: No define políticas para correos fallidos, solo verifica la
autenticidad.
- DMARC: Proporciona mecanismos para informes y define políticas claras
sobre qué hacer con los correos no autenticados.
Estos mecanismos juntos proporcionan una capa robusta de seguridad para
la autenticación de correos electrónicos, ayudando a prevenir el abuso del
correo electrónico y mejorando la confianza en los sistemas de mensajería.
Ejemplos de Utilización
Sender Policy Framework (SPF)
Ejemplo:
Una empresa llamada "ejemplo.com" quiere asegurarse de que solo sus
servidores de correo autorizados puedan enviar correos electrónicos en
nombre de su dominio.
1. Configuración del Registro SPF:
La empresa añadirá un registro TXT en su DNS con la siguiente
información:
```
v=spf1 ip4:192.0.2.0/24 include:spf.proveedor.com -all
```
- `v=spf1`: Especifica la versión de SPF.
- `ip4:192.0.2.0/24`: Autoriza a la red de la empresa para enviar correos.
- `include:spf.proveedor.com`: Autoriza a los servidores de correo del
proveedor externo.
- `-all`: Indica que todos los demás servidores no están autorizados.
2. Verificación del Correo:
Cuando un servidor de correo recibe un correo de "ejemplo.com",
verificará la IP del remitente contra el registro SPF. Si la IP está en la lista
autorizada, el correo pasa la verificación SPF.
DomainKeys Identified Mail (DKIM)
Ejemplo:
La misma empresa "ejemplo.com" quiere garantizar la integridad de sus
correos y que no sean alterados en tránsito.
1. Generación de Claves:
La empresa genera un par de claves (privada y pública). La clave privada
se usa para firmar los correos y la clave pública se publica en el DNS.
2. Configuración del Registro DKIM:
La empresa añade un registro TXT en su DNS con la clave pública:
```
default._domainkey.ejemplo.com IN TXT "v=DKIM1; k=rsa;
p=MIGfMA0GCSqGSI..."
```
- `v=DKIM1`: Especifica la versión de DKIM.
- `k=rsa`: Indica el algoritmo de clave.
- `p=MIGfMA0GCSqGSI...`: Clave pública.
3. Firma del Correo:
Al enviar un correo, el servidor de correo de "ejemplo.com" añade una
firma digital al encabezado del correo utilizando la clave privada.
4. Verificación del Correo:
Cuando el servidor receptor recibe el correo, utiliza la clave pública en el
DNS para verificar la firma. Si la firma es válida, el correo pasa la
verificación DKIM.
Domain-based Message Authentication, Reporting & Conformance (DMARC)
Ejemplo:
La empresa "ejemplo.com" quiere definir políticas claras sobre qué hacer
con los correos que no pasen las verificaciones SPF y DKIM, y quiere recibir
informes sobre estos casos.
1. Configuración del Registro DMARC:
La empresa añade un registro TXT en su DNS con la política DMARC:
```
_dmarc.ejemplo.com IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc-
[email protected]; ruf=mailto:
[email protected]; fo=1"
```
- `v=DMARC1`: Especifica la versión de DMARC.
- `p=reject`: Política que indica rechazar correos que no pasen las
verificaciones.
- `rua=mailto:
[email protected]`: Dirección para enviar
informes agregados.
- `ruf=mailto:
[email protected]`: Dirección para enviar
informes forenses de fallos.
- `fo=1`: Pide informes detallados sobre fallos.
2. Verificación del Correo:
Cuando un servidor receptor recibe un correo de "ejemplo.com", verifica si
pasa SPF y DKIM. Si falla alguna de las verificaciones, el servidor sigue la
política DMARC (en este caso, rechaza el correo).
3. Recepción de Informes:
La empresa recibe informes periódicos sobre el rendimiento de sus
correos, incluyendo detalles de cualquier fallo, lo que les permite ajustar y
mejorar sus políticas de autenticación.
