Construir una marca que priorice la seguridad y la confianza con sus clientes es una forma directa de crear una base de clientes fiel. La autenticación del correo es la mejor manera de construir una reputación de marca fiable y garantizar que todos tus mensajes llegan correctamente a tus clientes.
Los profesionales de la seguridad del correo llevan décadas usando DKIM, SPF y DMARC para generar confianza con sus clientes y reducir el riesgo de ciberataques. Esto ha funcionado muy bien para muchas marcas y agencias a la hora de construir su reputación.
Esta guía te llevará por los fundamentos de tres de los sistemas más populares para crear emails seguros y fiables que siempre llegan directamente a la bandeja de entrada de tu cliente.
Entender los fundamentos de la autenticación del correo
En 2018, el Departamento de Seguridad Nacional de EE. UU. ordenó a todas las agencias implementar estrategias de seguridad del correo para garantizar que sus datos estaban protegidos. A esta orden le siguieron directivas similares en Australia y el Reino Unido. La autenticación básica del correo es cada vez más esencial para que una marca se considere segura.
La autenticación del correo funciona superponiendo distintas formas de verificación y de estrategia para garantizar que cada email se envía desde una fuente autorizada. Esto se hace para evitar la suplantación del correo, en la que un usuario malicioso se hace pasar por un dominio de correo de confianza para estafar a los clientes. Si tu correo es vulnerable, un ciberataque así puede ocurrir, creando víctimas y arruinando la reputación de tu marca.
Los protocolos que se usan en la autenticación del correo incluyen SPF y DKIM, que funcionan para verificar que un email viene de un remitente verificado. La autenticación del correo también implica DMARC, una estrategia que determina qué hacer con los emails que superan o no superan las verificaciones de DKIM o SPF.
El solapamiento de estos tres sistemas crea una malla estable y segura que defiende tu dominio y garantiza la confianza en tu marca. Aprender estos protocolos es esencial para dominar el email marketing y asegurar que cada mensaje que envías al cliente le llega correctamente.
Aun así, la adopción es desigual, y por eso mismo estos protocolos siguen importando. Entre los dominios que analizamos, el 93% publica un registro SPF válido y el 90% firma su correo con una clave DKIM que funciona, pero solo el 49% publica una política DMARC, lo que significa que el 51% de los dominios todavía no tiene DMARC en absoluto. Tener los tres en su sitio te pone por delante de la mayoría.
Técnicas clave de autenticación del correo
SPF (Sender Policy Framework)
SPF evita la suplantación del correo verificando la dirección IP desde la que envías tus emails. Esto impide que los atacantes se hagan pasar por tu dominio y estafen a tus clientes. SPF lo consigue usando una lista blanca de direcciones IP verificadas y comparándola con la dirección del remitente.
SPF crea emails más seguros al utilizar un conjunto limitado de fuentes autenticadas desde las que detectar inseguridades. Es difícil que un usuario malicioso añada su dirección a tu lista blanca o suplante de otro modo tu dominio de correo.
DKIM (DomainKeys Identified Mail)
DKIM firma cada mensaje saliente con una clave criptográfica en lugar de enumerar servidores autorizados. La plataforma de envío guarda una clave privada y firma el mensaje, y el servidor receptor comprueba esa firma contra una clave pública publicada en tu dominio.
Como la firma cubre el propio mensaje, DKIM también demuestra que el contenido no se alteró entre el envío y la entrega, algo que SPF no puede hacer. Eso lo convierte en el más difícil de falsificar de los dos y en el que sobrevive al reenvío.
DMARC (Domain-based Message Authentication, Reporting, and Conformance)
DMARC es una estrategia de seguridad del correo que se apoya en los protocolos DKIM y SPF. DMARC le dice al servidor de correo qué hacer con los emails autenticados o por SPF o por DKIM, y elige entre enviar los emails no verificados a spam o rechazarlos por completo. DMARC también ayuda a los proveedores de servicios de Internet a detectar falsos positivos en el proceso de verificación, mejorando la seguridad del sistema en su conjunto.
Aunque DMARC no es obligatorio, es muy recomendable, ya que aporta un marco para gestionar tu estrategia de seguridad del correo. SPF y DKIM por sí solos no pueden automatizar qué hacer con cada email que rechazan o verifican. Solo DMARC puede garantizar que ningún email inseguro llegue a tus clientes. Por suerte, es fácil de configurar y suele funcionar bien junto a los demás protocolos de seguridad del correo.
Cómo encajan SPF, DKIM y DMARC
Los tres protocolos responden a preguntas distintas y el servidor receptor los comprueba en orden. SPF pregunta si el servidor que conecta estaba autorizado a enviar en nombre de tu dominio. DKIM pregunta si el mensaje se alteró por el camino y qué dominio lo firmó. DMARC pregunta qué debe hacer el receptor cuando alguna de las dos comprobaciones falla, y adónde enviar el informe.
Ese orden importa al desplegarlos. Publica antes SPF y DKIM y confirma que ambos pasan en envíos reales, porque DMARC solo surte efecto cuando al menos uno de ellos pasa y coincide con el dominio de la cabecera From. Después publica DMARC en p=none, lee los informes durante unas semanas para localizar a los remitentes legítimos que habías olvidado y solo entonces pasa a quarantine y reject.
La sintaxis de los registros, los pasos en el DNS y los fallos propios de cada protocolo están desarrollados en las páginas dedicadas a SPF, DKIM y DMARC.
Medidas adicionales de autenticación del correo
BIMI (Brand Indicators for Message Identification)
BIMI es un estándar de correo que añade el logotipo de tu marca a los emails que envías desde tu dominio. Esto mejora la visibilidad y la seguridad de tu marca al crear una imagen reconocible que tus clientes asocian con ella. A diferencia de DKIM, SPF y DMARC, BIMI es algo que tus clientes sí notarán en su bandeja de entrada.
Los proveedores de servicios de correo como Google y Yahoo animan activamente a sus usuarios a implementar el estándar BIMI, y solo permiten que una marca lo use cuando tiene todos los demás protocolos de correo en su sitio. Esto significa que los clientes confiarán al instante en los emails con BIMI. Su adopción sigue siendo rara (el 99% de los dominios que analizamos no publica ningún registro BIMI), así que tener uno es una forma real de destacar en una bandeja de entrada saturada.
Monitorizar y resolver problemas de autenticación del correo
Hay decenas de herramientas diseñadas para ayudarte a monitorizar tu estrategia de seguridad del correo y hacer cambios cuando haga falta. MXalerts y SolarWinds son dos ejemplos de software que te dan datos de rendimiento del servidor, resolución de problemas de correo y detección de spam para garantizar que todos tus emails aterrizan a salvo en la bandeja de entrada de tu cliente. Si solo quieres confirmar que tu política está publicada y se interpreta correctamente, puedes pasar tu dominio por un comprobador de DMARC gratuito antes de meterte en los informes completos. Sin usar ningún programa, tus informes DMARC y tu proveedor de servicios de correo deberían darte por sí solos información suficiente para monitorizar la seguridad de tu correo.
Algunos problemas habituales con la seguridad del correo son las contraseñas poco seguras y el uso de wifi público. Son riesgos que no se pueden resolver con prácticas como DKIM, SPF o DMARC, porque son inseguridades ajenas al servidor de correo.
Buenas prácticas para la autenticación del correo
Las estrategias de ciberataque innovan y cambian constantemente para atacar sistemas conocidos como DKIM, SPF y DMARC. Esto significa que tienes que mantenerte alerta y cuidar tus sistemas de forma constante mediante pruebas para asegurarte de tener los emails más seguros posibles. Hacer un análisis de salud del correo periódico sobre los tres protocolos a la vez es la forma más rápida de detectar un registro que se ha quedado desfasado antes de que te cueste entregabilidad. Y compensa: en nuestras pruebas solo el 89% de los mensajes supera una comprobación completa de entregabilidad (el 9% recibe un aviso y el 2% falla directamente), así que el mantenimiento regular es lo que te mantiene en esa mayoría que aprueba.
Con DKIM, es importante rotar con regularidad tu par de claves para garantizar que los ciberatacantes no puedan aprovecharse de claves estancadas. Cambiarlas con regularidad significa que tu sistema se actualiza constantemente y va un paso por delante de cualquier ataque malicioso.
Con SPF, es necesario revisar con regularidad tu lista blanca para asegurarte de que solo tus remitentes verificados pueden utilizar tu dominio de correo. Además, comprueba que ninguno de tus remitentes comparte dirección IP con alguien poco fiable.
Puedes probar tus protocolos SPF y DKIM enviándote emails señuelo a ti mismo. El método exacto variará según tu proveedor de correo. Por ejemplo, en Google, una vez que envías un email a tu cuenta señuelo, puedes consultar los detalles del mensaje abierto. Si tus protocolos de seguridad funcionaron, el email debería indicar "mailed-by: tu dominio" y "signed-by: tu dominio".
Dentro de tu estrategia DMARC, se recomienda detallar tus protocolos exactamente según lo que necesita tu marca. Por ejemplo, no todas las empresas necesitan rechazar cada email no verificable, mientras que para otras esto es imprescindible. Asegúrate de usar la estrategia adecuada para ti, no solo la que parece más "segura".
Si quieres una forma rápida y fiable de comprobar si tus emails van a spam, usa nuestra herramienta de test de spam.
Reflexiones finales
Para que una estrategia de autenticación del correo funcione, es esencial usar los tres protocolos expuestos en esta guía: SPF, DKIM y DMARC. Aunque un solo protocolo puede bastar para ganar una confianza inicial entre tus clientes, basta con una sola faceta insegura de tus emails para que un ciberataque letal destruya toda la reputación de tu marca.
Sigue los pasos de esta guía. Puedes crear fácilmente un sistema de seguridad del correo que reduzca de forma eficaz tu riesgo de ataque y aumente la fidelidad de tus clientes a medida que confían cada vez más en tu marca.
Si todavía te cuesta encontrar la mejor manera de implementar los protocolos SPF, DKIM y DMARC, quizá sea el momento de consultar a un consultor de entregabilidad de correo.
