Mantener una reputación del remitente fuerte, positiva y segura es difícil cuando se produce una amenaza en línea cada 39 segundos y el número de emails de phishing que contienen malware ha subido al 97% hace poco. Los ISP no confían en las empresas, así que cuesta hacerse un nombre. Sin embargo, hay una salida incluso para quienes acaban de montar su negocio y están obligados a usar IP compartidas, famosas por sus meteduras de pata en ciberseguridad.
Una de las mejores formas de proteger tu nombre e incluso de llevar tu sender score al siguiente nivel es aplicar los protocolos de autenticación creados para asegurar las newsletters y las conexiones entre la marca y el usuario final. Hay varios estándares populares; sin embargo, hoy vamos a centrarnos en DKIM, uno de los pilares principales de DMARC, que desempeña un papel crucial a la hora de definir la autenticidad de un email para la mayoría de los ISP.
Vamos a repasar sus aspectos esenciales, entender qué es DKIM, cómo crear un registro DKIM siguiendo un sencillo procedimiento de 5 pasos y descubrir las herramientas que te permiten hacer una comprobación de DKIM para asegurarte de que funciona como debe.
¿Qué es DKIM?
Lo primero es lo primero: ¿qué es DKIM?
DKIM significa DomainKeys Identified Mail, un estándar de Internet definido en el RFC 6376. Al igual que SPF, es uno de los métodos de autenticación más fiables y extendidos que usan los proveedores de servicios de Internet para garantizar la salud de las conexiones de correo. Ante todo, se usa para combatir el spoofing.
El spoofing es un tipo de ciberataque en el que el hacker se disfraza de fuente de confianza para atravesar filtros y protocolos de seguridad sin obstáculos, y así acceder a datos personales, propagar malware, saltarse los controles de acceso a la red o redistribuir el tráfico. Puede ocurrir en sitios web, llamadas telefónicas, emails y servidores.
Según estudios recientes, el spoofing es el tipo de ciberdelito más común en 2021 y su frecuencia se ha duplicado en los últimos años. Los ataques de phishing han afectado a más del 80% de todas las organizaciones del mundo.
Así que este es un gran problema que todo emprendedor debería abordar. Una de las formas de hacerlo es crear un registro DKIM. Ayuda a detectar direcciones de remitente falsificadas en el correo y a evitar que el atacante disfrace su identidad como si fuera otra, que cambie el cuerpo del mensaje durante el tránsito y que robe identidades y activos.
Al igual que SPF, cuya tarea es proporcionar a los ISP y a otros sistemas una lista de remitentes autorizados, DKIM usa el concepto de propietario del dominio. Dicho de forma sencilla, crea una firma digital para cada email enviado desde el dominio autorizado. Mediante criptografía asimétrica (criptografía de clave pública, en la que cada entidad tiene dos claves), dota al email de una firma digital única. Para verificarla, los servidores receptores usan la clave pública, que es accesible a través del registro DKIM.
¿Qué es un registro DKIM?
El registro DKIM es un registro DNS TXT modificado que se añade al DNS del dominio de envío. Contiene una clave pública que se genera al mismo tiempo que la clave privada. Ambas claves están vinculadas matemáticamente, de modo que el sistema puede garantizar la autenticidad de un remitente y verificar que quien envió el mensaje es el remitente autorizado.
Puedes tener tantos registros DKIM como quieras y necesites. El único problema son las limitaciones de tu servicio de hosting de DNS.
El registro DKIM completo de Returnpath.com
¿Cómo funciona DKIM?
El flujo de trabajo de DKIM es bastante sencillo. Todo el proceso ocupa apenas unos pocos pasos:
- Paso 1: El servidor de envío añade a la cabecera del email una clave privada a la que solo él puede acceder.
- Paso 2: El servidor receptor recibe el email e inicia una comprobación de DKIM. Esto implica
- Obtener la firma de la cabecera del email.
- Obtener el registro DKIM de los registros DNS.
- Obtener la clave pública del dominio.
- Validar la firma con una clave pública.
- Paso 3: Según los resultados de la verificación, el servidor receptor decide el destino del email.
Si el email supera con éxito la comprobación de DKIM y el remitente es auténtico y está autorizado, puede atravesar la barrera de seguridad y llegar al destinatario. Eso sí, ten en cuenta que ningún factor por sí solo determina la decisión final. Al igual que SPF, DKIM es uno de los varios factores que el ISP valora antes de tomar la decisión final. Así que el email puede ser rechazado igualmente.
Si el email no supera la comprobación de DKIM, el servidor receptor lo considera ilegítimo. De nuevo, no hay ninguna garantía del 100% de que vaya a ser rechazado. También puede acabar en la carpeta de spam.
Aunque el registro DKIM es uno de los mejores estándares, sigue teniendo algunas carencias que obligan a los ISP a analizar más de una herramienta de autenticación. Veamos algunas debilidades habituales de DKIM.
Carencias del registro DKIM
Nada puede garantizar una seguridad absoluta. Toda tecnología y todo estándar tienen sus desventajas; el registro DKIM no es una excepción.
Para sacarle el máximo partido al registro DKIM, tienes que entender sus carencias, ya que te dan pistas sobre qué protocolos y estándares adicionales usar para asegurar la mejor protección global.
Las debilidades más importantes del registro DKIM son:
- Tiene un alcance limitado.
- Solo verifica la cabecera del email e ignora el contenido. Esta es una brecha de seguridad enorme que tienes que abordar. Aunque DKIM esté implementado, un hacker todavía puede crear un mensaje con malware, firmarlo con DKIM y enviarlo desde el dominio de confianza. Así que los usuarios pueden llegar a abrir emails con un virus.
- No le dice a la parte receptora cómo tratar los mensajes que no superan la autenticación.
- Ninguno de los algoritmos de canonicalización de DKIM (simple y relaxed) tiene en cuenta MIME. Por eso, algunos servidores pueden romper la firma DKIM al reescribir la estructura MIME.
- La autenticación con claves cortas (de 384 bits a 512 bits) se puede factorizar con facilidad. Usa claves de al menos 1024 bits.
- Si el email autenticado se reenvía, por ejemplo, a través de un ESP, puede ser rechazado por los dispositivos móviles.
- DKIM no puede frenar la difusión de mensajes ya firmados que resultaron ser falsificados.
- La validez de las firmas se puede limitar incluyendo una etiqueta de tiempo de expiración.
- Algunos nombres de dominio en listas blancas se consideran de confianza únicamente por DKIM. Los emails que proceden de ellos se dan por seguros sin hacer preguntas. Esto puede ser una base para el spoofing y el phishing.
Dicho esto, estos inconvenientes no deberían frenarte a la hora de imponer un nivel de seguridad DKIM. Primero, estas carencias se pueden remediar con otros protocolos de seguridad, sobre todo DMARC, que les dice a los receptores cómo tratar los mensajes que no superan la autenticación, y aun así el 42% de los dominios que analizamos todavía no tiene ninguna política DMARC, lo que deja a DKIM trabajando sin ese respaldo. Segundo, DKIM aporta beneficios considerables. Veamos por qué es importante una comprobación de DKIM.
¿Por qué es importante la comprobación de DKIM?
DKIM se ha convertido casi en un requisito mínimo para los remitentes legítimos: entre los dominios que analizamos, el 87% firma su correo con una clave DKIM que funciona, lo que deja al 13% restante con una pinta llamativamente poco autenticada ante los ISP. A pesar de sus puntos débiles, DKIM es muy recomendable porque aporta beneficios considerables a una empresa. Por ejemplo,
- Los emails firmados con DKIM parecen legítimos tanto para los servidores como para los suscriptores.
- DKIM garantiza que los mensajes no se modifiquen en tránsito entre el servidor de envío y el receptor.
- Los emails firmados con DKIM tienen menos probabilidades de acabar en la carpeta de spam.
- DKIM combate el spoofing y, con ello, hace de la web un lugar más seguro.
- El registro DKIM encaja a la perfección con SPF y otros protocolos de seguridad.
- DKIM es totalmente compatible con la infraestructura del correo, así que no estropea la newsletter.
- No puedes implementar DMARC sin implementar antes DKIM.
- Una capa extra de confianza en tu firma puede mejorar tus tasas de conversión.
- DKIM mejora la tasa de entregabilidad e, ipso facto, la tasa de apertura, lo que te da una buena oportunidad de lanzar campañas de email marketing exitosas.
- DKIM impulsa la reputación del remitente tanto si usas una IP compartida como si usas una dedicada. Esto es cada vez más importante para las startups y las pequeñas empresas, que suelen estar bajo la sospecha de los ISP.
- DKIM mejora la reputación de la marca.
Infografía sobre la entregabilidad del correo
¿Cómo configurar un registro DKIM?
Tanto si usas un ESP que hace la mayor parte del trabajo por ti como si gestionas tu propio servidor de correo, vas a necesitar dos cosas:
- una clave privada única guardada en un lugar seguro,
- una clave pública que compartirás con otros sistemas, como ESP, ISP o servidores de correo receptores, para hacer la comprobación de DKIM.
Al igual que los registros SPF, DKIM también usa registros DNS TXT modificados para almacenar y compartir claves. Tiene su propio formato y su propia sintaxis.
La rutina para garantizar la protección DKIM de tu dominio es sencilla y requiere apenas cinco pasos simples.
Paso 1: Reúne la información
Reúne y enumera los dominios que tienen tu permiso para enviar emails a tus suscriptores. Todos los dominios de envío aplicables deberían tener registros DKIM, y estos deberían estar dentro de registros DNS de cara al público.
Paso 2: Abre el editor de registros
Abre el editor de registros, es decir, el editor de DNS de DNSimple. Lo vas a necesitar para crear, modificar, ver y gestionar registros DNS. Los ESP y los paneles de control de los proveedores de hosting suelen ofrecer un asistente intuitivo.
Paso 3: Crea un par de claves privada y pública
Si usas un ESP o Google App (Gmail), puedes conseguir las claves a través de ellos. Estará en tu zona como un registro TXT o como un CNAME, es decir, un registro de nombre canónico. Este último suele apuntar a la clave en el DNS del proveedor.
Otra opción es generar este par con algunas herramientas en línea útiles, por ejemplo, DKIMCore Keys, que crea el par de claves pública y privada de 1024 bits. Solo tiene un inconveniente: tus claves se guardarán en la base de datos del servicio. Para evitar este fallo, puedes usar servicios de pago.
Si no te da miedo programar, siempre puedes generar este par en tu propia máquina con la herramienta de línea de comandos OpenSSL. El comando tiene este aspecto:
openssl genrsa -out your_domain_name.com.priv 1024
openssl rsa -in your_domain_name.com.priv -pubout > your_domain_name.com.pub
Echa un vistazo a este tutorial útil, How to create a DKIM record with OpenSSL, para hacerte con lo básico.
¿Dónde colocar las claves pública y privada?
La clave pública debe ir en el registro DNS TXT público.
La clave privada debe añadirse a la cabecera del email.
Paso 4: Crea el registro DKIM
Según tu proveedor de hosting o tu ESP, tendrás un asistente con una interfaz intuitiva para crear un registro DKIM. Por norma general, la rutina incluye pasos tan sencillos como
- Añadir el dominio y los subdominios en la pestaña Domain.
- Copiar el registro DNS TXT de DKIM generado, que suele estar en la pestaña Domain Verification o similar.
- Abrir el proveedor de DNS y añadirlo.
Aunque los ESP invierten en protección y ciberseguridad, sigue siendo muy recomendable configurar detalles de verificación específicos de tu dominio y tu organización.
Si vas por tu cuenta, puedes generar el registro DKIM con la ayuda de servicios en línea proporcionando el dominio y el selector, igual que al crear un par de claves básicas. Nuestro propio generador de registros DKIM construye el registro TXT a partir de tu dominio y tu selector en segundos, o puedes plantearte estas herramientas:
- DKIM Generator de EasyDmarc;
- DKIM Wizard de Sparkpost;
- Free DKIM Record Generator de Dmarcly.
Ahí puedes incluso elegir la longitud de la clave, que debería ser lo más larga posible.
Paso 5: Crea el registro de política
Si un dominio usa Domain Keys, deberías configurar un único registro de política, a menos que uses ESP que hagan todo el trabajo pesado por ti.
El registro de política es un registro DNX TXT esencial con un prefijo único, _domainkey, y tu nombre de dominio. Debería tener este aspecto:
_domainkey.example.com
Dentro de este registro, puedes especificar la política añadiendo un parámetro:
- "o=-,", que significa que todos los emails enviados desde este dominio concreto están firmados.
- "o=~,", que significa que solo algunos de los emails enviados desde este dominio están firmados.
Por último, pero no por ello menos importante
Es muy recomendable rotar tus claves privada y pública al menos una vez cada tres meses. Las claves antiguas deberían revocarse. Sin embargo, no añadas claves nuevas y elimines las antiguas al mismo tiempo. Los cambios tienen que hacerse efectivos. Por norma general, eso ocurre de 24 a 48 horas después. Por eso, espera varios días antes de revocar lo antiguo.
Herramientas para hacer una comprobación de DKIM
El principal problema del registro DKIM es que, si no se hace bien o se devuelve de forma incorrecta, lo más probable es que los ISP receptores bloqueen el email, simplemente porque consideran que una implementación incorrecta es señal de un ciberataque.
Por eso, es fundamental hacer una comprobación de DKIM y revisar dos veces los registros DKIM cuando acabas de configurarlos. ¿Cómo puedes hacerlo? Sencillo, usa herramientas especializadas. Comprobarán dos aspectos cruciales:
- ¿Existe alguna clave pública DKIM?
- ¿Es correcta la sintaxis de DKIM?
Hay una lista de inspectores en línea de confianza, incluido nuestro propio comprobador de DKIM, y cada uno te ofrece una interfaz intuitiva donde puedes hacer rápidamente una comprobación de DKIM para asegurarte de que todo va bien y de que la capa de seguridad está implantada. Elige el que mejor te encaje.
- Unspam. Unspam es un comprobador de spam profesional con predicción de mapa de calor y una interfaz intuitiva. Su tarea principal es darte información sobre la seguridad de tus emails. Aquí encontrarás un informe sobre el registro DKIM, así como sobre SPF y DMARC. Toda la rutina de comprobación del registro DKIM se reduce a enviar un email a la dirección de prueba. Sencillo.
- Mail Tester. A diferencia de Unspam, Mail Tester hace una sola cosa: comprueba si tu dominio tiene las dos firmas de correo estándar (SPF y DKIM) y si están bien configuradas y son válidas en ese preciso momento. Aquí tienes que introducir tu dominio y tu selector DKIM.
- DKIM Inspector. DKIM Inspector es una herramienta en línea creada por Dmarcian, cuyo equipo sabe bastante sobre amenazas en línea. Su herramienta en línea comprobará el registro DKIM y te dirá si su parte pública es correcta y está bien implementada. La interfaz es igual que en el ejemplo anterior. Tienes que conocer tu dominio y tu selector DKIM.
- Herramienta Inspector de Agari. Esta consulta de registros DKIM verifica las cabeceras de tu email para dar información sobre la página de estado de la firma DKIM.
Como habrás notado, la mayoría de las herramientas que hacen una comprobación de DKIM te exigen introducir el selector DKIM, salvo Unspam, que hace todo el trabajo pesado por ti. Por eso, vamos a averiguar dónde y cómo conseguir tu selector DKIM.
¿Cómo puedes encontrar el selector DKIM?
El selector DKIM es una parte de la cabecera del email que indica la ubicación de la porción de clave pública en el DNS. El servidor receptor lo usa para obtener la clave. El objetivo principal del selector DKIM es permitir que un mismo nombre de dominio tenga varias claves DKIM para una mejor protección.
La forma más sencilla de conseguir tu selector DKIM es enviarte un email a ti mismo. Después, sigue este sencillo procedimiento de 4 pasos:
- Abre el email.
- Haz clic en "Ver el mensaje original", que también puede llamarse "ver sin formato" o "ver cabeceras completas".
- Busca DKIM en la cabecera del email: empieza por "DKIM-signature".
- Encuentra un atributo que empiece por "s=". Ese es tu selector DKIM.
Si hay varias firmas DKIM, necesitas la que contiene tu dominio.
Si no encuentras ninguna DKIM-signature en la cabecera del email, es que esa función no existe.
Conclusión
Como uno de los factores clave que los ISP tienen en cuenta al decidir el destino de un email, DKIM es sorprendentemente fácil de aplicar; es solo una sencilla rutina de 5 pasos que no requiere habilidades especiales ni tiempo extra. Si te da mucha pereza, puedes generarlo con algunos servicios en línea de confianza o encargarle el asunto al equipo de soporte de tu ESP o de tu proveedor de hosting.
Sin embargo, a pesar de su sencillez, ofrece muchos beneficios a los negocios digitales. Ayuda a combatir el spoofing y el phishing, a impulsar la tasa de entregabilidad, a asegurar unas tasas de apertura altas y a mejorar la seguridad de la web y de la conexión entre usuarios.
Esta capa de seguridad no es obligatoria, pero sí muy recomendable, ya que te da una oportunidad real de llevar tu negocio con normalidad a pesar de las amenazas digitales que te esperan en cada esquina.
