La seguridad del correo electrónico nunca ha sido tan importante como hoy. Es esencial proteger todos y cada uno de los emails que envías y recibes para construir un negocio fiable y seguro. Usar las técnicas de seguridad del correo adecuadas puede evitar el phishing, el fraude o el spam, y librar a tus clientes de convertirse en víctimas de un ciberataque.
Hay muchas formas de proteger los emails de tu empresa y los de tus clientes. Dos protocolos populares que la mayoría de las empresas sigue hoy en día son DKIM y DMARC. Aunque los expertos en seguridad del correo reconozcan estos sistemas al instante, al dueño medio de un negocio le puede costar entenderlos.
En esta guía te damos el repaso completo de DKIM vs DMARC, para que puedas estar tranquilo sabiendo que todos tus emails salientes y entrantes son totalmente seguros.
¿Qué es DKIM? Entender lo básico
DKIM, también conocido como DomainKeys Identified Mail, es una estrategia de seguridad en línea en la que los emails se autentican tanto en los servidores de entrada como en los de salida. Esto protege al usuario final de posibles riesgos de seguridad a través de su correo. Este proceso funciona dando a cada email una firma.
Esto actúa como un método único de identificación que conecta el email con el servidor de tu dominio. El servidor que lleva el email desde ti hasta tu destinatario verifica entonces esta conexión, etiqueta tu email como de confianza y lo deja directamente en la bandeja de entrada de tu destinatario.
El papel de DKIM en la seguridad del correo
Usar DKIM es esencial para evitar el fraude, el spam y los intentos de phishing. DKIM impide que usuarios maliciosos utilicen el dominio de correo de tu empresa (la parte de la dirección de correo que viene después de la "@") para hacerse pasar por ti o por tu empresa. Si usas DKIM en tu empresa, cualquier persona no registrada que intente usar tu dominio de correo para estafar a tus clientes acabará directamente en spam o se quedará sin entregar.
DKIM trabaja junto a otros protocolos de seguridad del correo como DMARC y SPF para proteger todos los emails. Al utilizar estos protocolos en equipo, tus emails tendrán menos puntos débiles que si solo empleas DKIM en tu estrategia de correo. La adopción ya está muy extendida: entre los dominios que analizamos, el 87% firma su correo con una clave DKIM que funciona, así que el 13% que no la tiene parece llamativamente no autenticado a ojos de los servidores receptores.
Características y ventajas clave de DKIM
La principal ventaja de usar DKIM es que resulta increíblemente seguro y fácil de configurar.
El uso de DKIM también aumenta la confianza con tu base de clientes. Si una sola persona consigue hacerse pasar por tu dominio de correo y estafar a tus clientes, esto podría ser el fin de la reputación de tu marca. Aunque tus clientes no sean estafados, un solo email sospechoso es todo lo que hace falta para que muchos de ellos metan tu dominio de correo en su lista negra por completo.
Los emails inseguros pueden costar mucho dinero, tanto a ti como a tus clientes. Según el FBI, el fraude del correo corporativo ha costado a sus víctimas unos 50.000 millones de dólares en todo el mundo.
Usar DKIM es una manera fácil y sencilla de evitar cualquiera de estos problemas. El protocolo es fácil de implementar y es uno de los sistemas más estables y seguros para usar dentro de la seguridad del correo.
DKIM lo usan incluso los proveedores de servicios de internet como Google y Yahoo para valorar la fiabilidad de tu dominio, lo que construye tu confianza y tu reputación con estos proveedores. Esto hace más probable que tus emails se entreguen correctamente.
El propósito y el funcionamiento de DMARC
DMARC, también conocido como Domain-based Message Authentication Reporting & Conformance, es una estrategia de seguridad del correo que se construye sobre los protocolos SPF y DKIM. En esencia, DMARC ofrece una forma de que el servidor de correo trate los emails que han sido rechazados por SPF y DKIM.
Con tres opciones que van del rechazo total a la permisividad total para los emails no verificados, DMARC permite a los usuarios diseñar una estrategia sobre cómo gestionar la seguridad de su correo. Utilizar DMARC como parte de tu seguridad del correo significa que habrás automatizado tu respuesta a los ciberataques y podrás estar tranquilo sabiendo que tienes un plan para devolver el golpe a los usuarios maliciosos.
Cómo complementa DMARC a DKIM
DMARC es la política de seguridad de tu dominio. Dice qué hacer con los emails rechazados por la autenticación SPF o DKIM. También ayuda a los proveedores de servicios de internet a detectar falsos positivos en el proceso de verificación, lo que mejora la seguridad del sistema en su conjunto.
Usar DKIM solo le dice al servidor si un email es auténtico o no. No da instrucciones sobre qué hacer con el email si falla este proceso de verificación o si lo supera. DMARC es necesario para hacer algo con la información que obtienes de DKIM. Crea un sistema para mover los emails a spam o negarse a enviarlos si el email no supera los procesos de verificación. Tanto DKIM como DMARC son esenciales, entonces, para un protocolo de seguridad del correo completo.
Aquí es también donde la mayoría de los remitentes se queda corta. Nuestros datos de benchmark muestran que el 58% de los dominios que analizamos ya publica una política DMARC, pero el 42% sigue sin tener ninguna, lo que significa que una gran parte publica firmas DKIM y, sin embargo, nunca les dice a los receptores qué hacer cuando esas firmas fallan.
DKIM vs DMARC: diferencias clave y sinergias
La principal diferencia entre DKIM y DMARC es que uno es un protocolo de seguridad y el otro una estrategia de seguridad. DKIM es un proceso de verificación que determina si los emails vienen de una fuente verificable y fiable o no. Es un protocolo que solo puede detectar si un email es inseguro o no. No puede decidir qué hacer con el email a partir de ahí.
DMARC es una estrategia de seguridad que determina qué hacer con los emails que superan o fallan la verificación DKIM. Este sistema usa la información recibida de la verificación DKIM para tomar decisiones sobre qué emails rechazar y a cuáles dejar pasar.
Estos procesos trabajan juntos para mejorar la seguridad del correo diseñando un sistema por capas que detecta los puntos débiles y sigue un plan sobre cómo gestionarlos, ya sea rechazar su envío o simplemente etiquetarlos como sospechosos en el buzón de tu destinatario.
Implementar DKIM y DMARC para reforzar la seguridad del correo
Guía paso a paso para configurar DKIM
Configurar DKIM es fácil si sigues estos pasos. Primero, necesitas conseguir un par de claves. Se usará para garantizar que nadie pueda copiar la firma de tu correo. Una clave pública se añadirá a los registros DNS y una clave privada se guardará a buen recaudo en el servidor del proveedor de servicios de correo. Estas claves trabajarán juntas para autenticar y verificar los emails.
El proveedor de correo que uses determinará cómo puedes acceder a estas claves. Normalmente, esto implica solicitar las claves DKIM en los ajustes de tu cuenta o ponerte en contacto directamente con tu proveedor para acceder a ellas. Recuerda elegir un proveedor de servicios de correo que admita explícitamente la seguridad DKIM. No todos lo hacen.
Una vez que tengas tus claves, puedes publicar tu clave pública en el servidor DNS utilizando registros DNS TXT. Debes seguir el formato [selector]._domainkey.[domain] El selector será tu clave pública.
En cuanto a la clave privada, tu proveedor de servicios de correo normalmente la añadirá a sus servidores sin que tengas que hacer nada.
Diseñar y desplegar una política DMARC
El primer paso que tienes que dar al crear tu política DMARC es decidir el nivel de aplicación que quieres desplegar sobre los emails que fallan la verificación. Un registro DMARC de ejemplo tendrá este aspecto :
v=DMARC1; p=quarantine; rua=unspam:emailsecurity@example.com;
Tienes la opción de cambiar la etiqueta "p=" para determinar tu nivel de aplicación. P=none te enviaría un registro de la verificación fallida pero seguiría enviando el email. P=quarantine también seguiría enviando el email, pero lo marcaría como spam, así que el destinatario tendría que buscarlo en su carpeta de spam. El nivel de aplicación más duro, p=reject, se niega automáticamente a enviar el email si no supera los procesos de autenticación DMARC o SPF.
La primera etiqueta "v=DMARC1" siempre se mantiene igual y la última etiqueta "rua=" simplemente describe la dirección de correo a la que quieres que se envíe tu informe DMARC.
Buenas prácticas para optimizar la autenticación del correo con DKIM y DMARC
Hay varios pasos clave que conviene tener en cuenta al implementar DKIM de forma eficaz. Asegúrate de rotar con regularidad tus pares de claves para adelantarte a cualquier posible ciberataque que se aproveche de las claves que nunca cambian. Además, comprueba que has seguido los pasos que te ha proporcionado tu proveedor de servicios de correo para implementar tus claves. No siempre puedes dar por hecho que ellos implementarán la clave pública por ti, aunque la mayoría de los proveedores lo hará. Mantén siempre la seguridad de tu correo probando tu sistema en busca de posibles puntos débiles y actualizando tu estrategia de autenticación del correo en consecuencia. Una forma rápida de confirmar que tu firma es válida es pasar tu dominio por un comprobador de DKIM gratuito antes y después de rotar tus claves.
De forma parecida, implementar una estrategia DMARC eficaz exige que seas proactivo y sigas las buenas prácticas. Asegúrate de que tu estrategia responde a los requisitos concretos de tu marca. No todas las empresas necesitan rechazar todos sus emails sospechosos sin revisarlos, mientras que algunas pueden considerarlo necesario.
Asegúrate siempre de que tu seguridad fuera del correo es tan sólida como dentro de él. Esto significa usar contraseñas únicas para todo lo que utilices, no compartir nunca información privada en una wifi pública y mantener tu sitio web seguro.
Casos prácticos: historias de éxito de la implementación de DKIM y DMARC
Paypal
PayPal fue una de las empresas que fundó el estándar DMARC en 2012, junto con Yahoo, Microsoft y Google. Trent Adams, presidente de DMARC.org y responsable de seguridad del ecosistema de Paypal, ha hablado a menudo de la eficacia de las políticas de seguridad del correo de Paypal. La apuesta de Adams tanto por PayPal como por DMARC es, sin duda, una de las razones por las que PayPal ha sido pionero en los estándares de seguridad del correo.
La empresa ha visto crecer su seguridad y su reputación de fiabilidad gracias a su dedicación a la seguridad del correo. Es esencial que las empresas del sector financiero mantengan una relación de confianza y seguridad con sus clientes para seguir en el negocio, y PayPal es un ejemplo fantástico de cómo invertir pronto en seguridad del correo puede dar sus frutos.
Agencias de seguridad del Estado
Otro sector en el que todos los emails deben ser seguros es el de la seguridad del Estado. Solo unos días después de la implementación, una agencia de seguridad vio más de 500 emails rechazados por DKIM y notificados por DMARC en apenas 24 horas. Usaron esos datos para descubrir a atacantes que estaban utilizando su dominio de correo para atacar a usuarios de todo Estados Unidos.
Dentro del descubrimiento de este ataque, más de 43.000 emails fueron rechazados por DMARC como "maliciosos". Esto significa que decenas de miles de personas quedaron protegidas de ciberataques gracias a que una sola agencia de seguridad implementó políticas de seguridad del correo. Esta agencia usó el nivel más alto de aplicación de DMARC, "p=reject", para garantizar que no se pudiera enviar ningún email si fallaba la verificación DKIM o SPF.
En una situación en la que la seguridad es tu prioridad número uno, debes usar el nivel más alto de aplicación de DMARC para asegurarte de que no hay ninguna posibilidad de que emails maliciosos lleguen a los usuarios.
Preguntas frecuentes sobre DKIM y DMARC
¿Puedo tener varios registros DKIM?
Hay muchas razones por las que podrías querer varios registros DKIM. Quizá tu empresa utiliza proveedores de correo externos para hacer negocio y necesita demostrar que esos dominios también son de confianza. Otra razón es que podrías querer ir cambiando tus registros DKIM para reforzar la seguridad de tu empresa. Algunos expertos en seguridad lo recomiendan para garantizar que tus protocolos de seguridad nunca sean fáciles de penetrar por usuarios maliciosos.
En cualquier caso, la respuesta es sí, es posible tener varios registros DKIM. Para hacerlo, debes configurar pares de claves DKIM separados para cada proveedor o registro alternativo que quieras producir. Después, simplemente sigue los pasos originales para implementar tu juego de claves en tus registros DNS y dentro de tu servidor de correo.
¿Puedo generar mi propio par de claves para DKIM?
Sí, es posible generar tu propio par de claves para DKIM. Si no quieres interactuar con tu proveedor de servicios de correo, puedes crear tus claves manualmente usando software gratuito en línea.
Estos programas usarán tus datos para crear tu propio juego único de claves para usar en tu dominio. Por desgracia, seguirás necesitando ponerte en contacto con tu proveedor de servicios de correo para que tu clave privada se guarde en su servidor de correo.
¿Cómo puedo saber si DMARC está funcionando?
Puedes acceder fácilmente a informes periódicos sobre cómo va tu DMARC para asegurarte de que tus políticas de seguridad funcionan, y un comprobador de DMARC gratuito te permite confirmar que tu registro está publicado correctamente antes de fiarte de esos informes. Cuando configuras tu protocolo DMARC, introduces un dominio RUA para conectar con el sistema. Esta es la dirección de correo a la que se enviarán tus informes. Cada vez que un email sea rechazado por los protocolos SPF o DKIM, el sistema te enviará información sobre el estado de ese email. Esto te ayudará a crear emails más seguros que superen los protocolos de seguridad, o a pillar a usuarios maliciosos que estén intentando suplantar tu dominio.
Ten en cuenta que DMARC puede tardar un par de días en empezar a funcionar, así que no te asustes si tus resultados no son inmediatos.
Conclusión: proteger tu ecosistema de correo
Los sistemas de correo DKIM y DMARC se han usado juntos con éxito durante años en muchas empresas de datos. Los protocolos van de la mano para crear emails seguros que construyen confianza con tus clientes.
Esta guía ha cubierto las diferencias entre DKIM y DMARC, cómo trabajan juntos y cómo las empresas han usado estos sistemas con gran éxito. Aunque a algunos les cueste distinguir estos dos procesos, si has seguido esta guía, es probable que ya seas un experto en ambos.
Si todavía te cuesta encontrar la mejor forma de implementar los protocolos DMARC y DKIM, quizá sea el momento de consultar a un consultor de entregabilidad de correo.
