Construir una marca que priorice la seguridad y la confianza con sus clientes es una forma directa de crear una base de clientes fiel. La autenticación del correo es la mejor manera de construir una reputación de marca fiable y garantizar que todos tus mensajes llegan correctamente a tus clientes.
Los profesionales de la seguridad del correo llevan décadas usando DKIM, SPF y DMARC para generar confianza con sus clientes y reducir el riesgo de ciberataques. Esto ha funcionado muy bien para muchas marcas y agencias a la hora de construir su reputación.
Esta guía te llevará por los fundamentos de tres de los sistemas más populares para crear emails seguros y fiables que siempre llegan directamente a la bandeja de entrada de tu cliente.
Entender los fundamentos de la autenticación del correo
En 2018, el Departamento de Seguridad Nacional de EE. UU. ordenó a todas las agencias implementar estrategias de seguridad del correo para garantizar que sus datos estaban protegidos. A esta orden le siguieron directivas similares en Australia y el Reino Unido. La autenticación básica del correo es cada vez más esencial para que una marca se considere segura.
La autenticación del correo funciona superponiendo distintas formas de verificación y de estrategia para garantizar que cada email se envía desde una fuente autorizada. Esto se hace para evitar la suplantación del correo, en la que un usuario malicioso se hace pasar por un dominio de correo de confianza para estafar a los clientes. Si tu correo es vulnerable, un ciberataque así puede ocurrir, creando víctimas y arruinando la reputación de tu marca.
Los protocolos que se usan en la autenticación del correo incluyen SPF y DKIM, que funcionan para verificar que un email viene de un remitente verificado. La autenticación del correo también implica DMARC, una estrategia que determina qué hacer con los emails que superan o no superan las verificaciones de DKIM o SPF.
El solapamiento de estos tres sistemas crea una malla estable y segura que defiende tu dominio y garantiza la confianza en tu marca. Aprender estos protocolos es esencial para dominar el email marketing y asegurar que cada mensaje que envías al cliente le llega correctamente.
Aun así, la adopción es desigual, y por eso mismo estos protocolos siguen importando. Entre los dominios que analizamos, el 90% publica un registro SPF válido y el 87% firma su correo con una clave DKIM que funciona, pero solo el 58% publica una política DMARC, lo que significa que el 42% de los dominios todavía no tiene DMARC en absoluto. Tener los tres en su sitio te pone por delante de la mayoría.
Técnicas clave de autenticación del correo
SPF (Sender Policy Framework)
SPF evita la suplantación del correo verificando la dirección IP desde la que envías tus emails. Esto impide que los atacantes se hagan pasar por tu dominio y estafen a tus clientes. SPF lo consigue usando una lista blanca de direcciones IP verificadas y comparándola con la dirección del remitente.
SPF crea emails más seguros al utilizar un conjunto limitado de fuentes autenticadas desde las que detectar inseguridades. Es difícil que un usuario malicioso añada su dirección a tu lista blanca o suplante de otro modo tu dominio de correo.
DKIM (DomainKeys Identified Mail)
DKIM es un protocolo de seguridad del correo que funciona de forma muy parecida a SPF. En vez de usar una lista blanca de servidores para verificar los emails, DKIM da a cada email una firma que establece su conexión única con el dominio. Después, los servidores entrantes y salientes la verifican para etiquetar el mensaje como fiable o inseguro.
DKIM refuerza la seguridad del correo al ofrecer otra vía para que los servidores verifiquen que los emails vienen de fuentes seguras y de confianza. Esto evita la suplantación del dominio de correo de tu empresa, que se podría usar para intentos de phishing o cualquier otra forma de estafa maliciosa.
DMARC (Domain-based Message Authentication, Reporting, and Conformance)
DMARC es una estrategia de seguridad del correo que se apoya en los protocolos DKIM y SPF. DMARC le dice al servidor de correo qué hacer con los emails autenticados o por SPF o por DKIM, y elige entre enviar los emails no verificados a spam o rechazarlos por completo. DMARC también ayuda a los proveedores de servicios de Internet a detectar falsos positivos en el proceso de verificación, mejorando la seguridad del sistema en su conjunto.
Aunque DMARC no es obligatorio, es muy recomendable, ya que aporta un marco para gestionar tu estrategia de seguridad del correo. SPF y SKIM por sí solos no pueden automatizar qué hacer con cada email que rechazan o verifican. Solo DMARC puede garantizar que ningún email inseguro llegue a tus clientes. Por suerte, es fácil de configurar y suele funcionar bien junto a los demás protocolos de seguridad del correo.
Guía paso a paso para implementar la autenticación del correo
Configurar los registros SPF
Configurar SPF es sencillo cuando conoces los pasos correctos. Configurar los registros SPF implica crear una lista blanca de remitentes verificados que tienen permiso para usar tu dominio para enviar emails. El administrador del dominio debe implementar esta lista en sus registros DNS.
Un ejemplo de este registro tiene este aspecto:
"v=spf1 ip4:182.155.0.1 -all"
Este registro funciona identificando una dirección IP verificada desde la que se pueden enviar emails y rechazando todos los emails que intentan usar el dominio sin venir de esa dirección IP. Hay varios modificadores que puedes usar para ajustar tus registros, con las adiciones habituales "a" y "mx", que se usan para verificar nombres de dominio que tienen un registro de dirección o un registro MX.
Configurar DKIM
DKIM es igual de fácil de configurar para tus emails. Generar e implementar las claves DKIM es el primer paso para poner DKIM en marcha. Primero, necesitas obtener un par de claves. Servirá para garantizar que nadie pueda copiar la firma de tu correo. Una clave pública se añadirá a los registros DNS y una clave privada se guardará a salvo en el servidor del proveedor de servicios de correo. Estas claves trabajarán juntas para autenticar y verificar los emails.
El proveedor de correo que utilices determinará cómo puedes acceder a estas claves. Normalmente, esto implica solicitar las claves DKIM en los ajustes de tu cuenta o contactar directamente con tu proveedor para conseguirlas. Recuerda elegir un proveedor de servicios de correo que admita explícitamente la seguridad DKIM, ya que no todos lo hacen.
Una vez que tengas tus claves, puedes publicar tu clave pública en el servidor DNS utilizando registros TXT de DNS. Debes seguir este formato: [selector]._domainkey.[domain].
El selector será tu clave pública, mientras que el dominio será tu nombre de correo identificativo. Una vez que guardes tu entrada, estos cambios pueden tardar un par de días en aplicarse, así que no te asustes si DKIM no empieza a funcionar de inmediato.
Implementar las políticas DMARC
Crear y desplegar registros DMARC es sencillo si sigues estas instrucciones. El primer paso que debes dar al crear tu política DMARC es decidir el nivel de aplicación que quieres desplegar sobre los emails que no superan la verificación.
Un registro DMARC de ejemplo tendrá un aspecto parecido a este :
v=DMARC1; p=quarantine; rua=unspam:email@security.com;
Tienes la opción de cambiar la etiqueta "p=" para determinar tu nivel de aplicación. "P=none" te enviaría un registro de la verificación fallida pero seguiría enviando el email. "P=quarantine" también seguiría enviando el email, pero lo marcaría como spam, así que el destinatario tendría que buscarlo en su carpeta de spam. El nivel de aplicación más duro, "p=reject", se niega automáticamente a enviar el email si no supera los procesos de autenticación de DMARC o SPF.
La primera etiqueta "v=DMARC1" siempre se mantiene igual y la última etiqueta "rua=" simplemente describe la dirección de correo a la que quieres que se envíe tu informe DMARC.
Una vez configurado todo esto, tu sistema está listo para rechazar o desviar los emails que no superan la verificación de DKIM o SPF. También recibirás actualizaciones periódicas sobre si tus emails se rechazan o no, lo que te permite actuar si aparece actividad sospechosa o mejorar la seguridad de tu correo si tus emails se rechazan con frecuencia.
Medidas adicionales de autenticación del correo
BIMI (Brand Indicators for Message Identification)
BIMI es un estándar de correo que añade el logotipo de tu marca a los emails que envías desde tu dominio. Esto mejora la visibilidad y la seguridad de tu marca al crear una imagen reconocible que tus clientes asocian con ella. A diferencia de DKIM, SPF y DMARC, BIMI es algo que tus clientes sí notarán en su bandeja de entrada.
Los proveedores de servicios de correo como Google y Yahoo animan activamente a sus usuarios a implementar el estándar BIMI, y solo permiten que una marca lo use cuando tiene todos los demás protocolos de correo en su sitio. Esto significa que los clientes confiarán al instante en los emails con BIMI. Su adopción sigue siendo rara (el 99% de los dominios que analizamos no publica ningún registro BIMI), así que tener uno es una forma real de destacar en una bandeja de entrada saturada.
Monitorizar y resolver problemas de autenticación del correo
Hay decenas de herramientas diseñadas para ayudarte a monitorizar tu estrategia de seguridad del correo y hacer cambios cuando haga falta. MXalerts y SolarWinds son dos ejemplos de software que te dan datos de rendimiento del servidor, resolución de problemas de correo y detección de spam para garantizar que todos tus emails aterrizan a salvo en la bandeja de entrada de tu cliente. Si solo quieres confirmar que tu política está publicada y se interpreta correctamente, puedes pasar tu dominio por un comprobador de DMARC gratuito antes de meterte en los informes completos. Sin usar ningún programa, tus informes DMARC y tu proveedor de servicios de correo deberían darte por sí solos información suficiente para monitorizar la seguridad de tu correo.
Algunos problemas habituales con la seguridad del correo son las contraseñas poco seguras y el uso de wifi público. Son riesgos que no se pueden resolver con prácticas como DKIM, SPF o DMARC, porque son inseguridades ajenas al servidor de correo.
Buenas prácticas para la autenticación del correo
Las estrategias de ciberataque innovan y cambian constantemente para atacar sistemas conocidos como DKIM, SPF y DMARC. Esto significa que tienes que mantenerte alerta y cuidar tus sistemas de forma constante mediante pruebas para asegurarte de tener los emails más seguros posibles. Hacer un análisis de salud del correo periódico sobre los tres protocolos a la vez es la forma más rápida de detectar un registro que se ha quedado desfasado antes de que te cueste entregabilidad. Y compensa: en nuestras pruebas solo el 82% de los mensajes supera una comprobación completa de entregabilidad (el 14% recibe un aviso y el 4% falla directamente), así que el mantenimiento regular es lo que te mantiene en esa mayoría que aprueba.
Con DKIM, es importante rotar con regularidad tu par de claves para garantizar que los ciberatacantes no puedan aprovecharse de claves estancadas. Cambiarlas con regularidad significa que tu sistema se actualiza constantemente y va un paso por delante de cualquier ataque malicioso.
Con SPF, es necesario revisar con regularidad tu lista blanca para asegurarte de que solo tus remitentes verificados pueden utilizar tu dominio de correo. Además, comprueba que ninguno de tus remitentes comparte dirección IP con alguien poco fiable.
Puedes probar tus protocolos SPF y DKIM enviándote emails señuelo a ti mismo. El método exacto variará según tu proveedor de correo. Por ejemplo, en Google, una vez que envías un email a tu cuenta señuelo, puedes consultar los detalles del mensaje abierto. Si tus protocolos de seguridad funcionaron, el email debería indicar "mailed-by: tu dominio" y "signed-by: tu dominio".
Dentro de tu estrategia DMARC, se recomienda detallar tus protocolos exactamente según lo que necesita tu marca. Por ejemplo, no todas las empresas necesitan rechazar cada email no verificable, mientras que para otras esto es imprescindible. Asegúrate de usar la estrategia adecuada para ti, no solo la que parece más "segura".
Si quieres una forma rápida y fiable de comprobar si tus emails van a spam, usa nuestra herramienta de test de spam.
Reflexiones finales
Para que una estrategia de autenticación del correo funcione, es esencial usar los tres protocolos expuestos en esta guía: SPF, DKIM y DMARC. Aunque un solo protocolo puede bastar para ganar una confianza inicial entre tus clientes, basta con una sola faceta insegura de tus emails para que un ciberataque letal destruya toda la reputación de tu marca.
Sigue los pasos de esta guía. Puedes crear fácilmente un sistema de seguridad del correo que reduzca de forma eficaz tu riesgo de ataque y aumente la fidelidad de tus clientes a medida que confían cada vez más en tu marca.
Si todavía te cuesta encontrar la mejor manera de implementar los protocolos SPF, DKIM y DMARC, quizá sea el momento de consultar a un consultor de entregabilidad de correo.
