Crear una comunicación fiable para tu marca es esencial para construir una relación sólida con tu clientela. Enviar emails seguros es sencillo cuando tienes la estrategia y los protocolos adecuados para verificar cada uno de los que envías.
Teorizados e implementados por primera vez a principios de los 2000, los protocolos de seguridad SPF y DKIM verifican y autentican los emails. En las dos décadas que han pasado desde su nacimiento, los profesionales de la seguridad del correo se han apoyado en estos dos sistemas para garantizar que cada mensaje que envían es seguro y para prevenir ciberataques maliciosos. Por desgracia, desde la aparición de estas dos estrategias, muchos usuarios han confundido una opción con la otra.
Esta guía repasa todo lo que necesitas saber sobre SPF vs DKIM. Al terminar, sabrás cómo funciona cada sistema, cuándo usar uno u otro y por qué cada protocolo produce los resultados que produce.
Entender SPF (Sender Policy Framework)
¿Qué es SPF?
SPF es un sistema de seguridad del correo que impide que usuarios maliciosos estafen a otros haciéndose pasar por ti o por tu empresa. Lo consigue creando una lista blanca de direcciones IP dentro de un servidor de correo para verificar si cada email viene de una fuente de confianza o no. SPF arrancó en 2006 y su actualización más reciente fue el estándar 7208 en 2014. Ha pasado las dos últimas décadas como uno de los sistemas de seguridad más fundamentales para el profesional moderno de la seguridad del correo.
Cómo funciona SPF
SPF funciona permitiendo que las empresas o los usuarios establezcan qué servidores están autorizados a enviar emails desde su dominio. Esto crea una conexión entre el servidor concreto y el dominio de marca que los suplantadores no pueden replicar. Cualquiera puede establecer un servidor de correo autorizado a través del DNS (Domain Name System) publicando su información SPF dentro de los archivos TXT del DNS.
Si se usa un servidor de retransmisión para intentar suplantar tu dominio, tu sistema SPF puede detectarlo y bloquear el envío de esos emails.
Ventajas y limitaciones de SPF
La ventaja central de SPF es que, de todos los protocolos de seguridad del correo establecidos, es el más extendido y el más fácil de configurar.
Una limitación central de SPF es que no hay ninguna acción integrada para impedir que un email se envíe o se reciba si no supera el protocolo SPF. Esto significa que el usuario debe construir otros protocolos que entren en juego una vez que se ha confirmado que un email no cumple los estándares SPF. Puedes usar una estrategia DMARC para montarlo. Esta toma la información que aporta SPF y decide qué hacer con ella, ya sea rechazar los emails por completo o dejar pasar ciertas condiciones. Esta capa de aplicación es también la que más se saltan los remitentes: nuestros datos de benchmark muestran que el 42% de los dominios que analizamos siguen sin tener ninguna política DMARC, lo que deja los resultados de SPF y DKIM sin nada que actúe sobre ellos.
Otro problema de SPF es que es solo una capa de autenticación. Los emails que usan verificación DKIM y SPF a la vez serán más seguros, ya que no dependen de un único sistema para garantizar su seguridad. Un hacker tendría que superar dos sistemas de seguridad solapados para suplantar tu dominio de correo, algo mucho más difícil que superar uno solo.
Descifrar DKIM (DomainKeys Identified Mail)
DKIM es un protocolo de seguridad del correo que funciona de forma muy parecida a SPF. Sin embargo, en vez de usar una lista blanca de servidores para verificar los emails, DKIM da a cada email una firma que establece su conexión única con el dominio. Los servidores emisores y receptores la verifican después para etiquetar el mensaje como fiable o como inseguro.
DKIM refuerza la seguridad del correo aportando otra forma de que los servidores verifiquen que los emails vienen de fuentes seguras y de confianza. Esto evita la suplantación del dominio de correo de tu empresa, que podría usarse para intentos de phishing o para cualquier otra forma de estafa maliciosa.
La principal ventaja de implementar DKIM junto a SPF es que ahora tienes dos sistemas independientes para autenticar los emails, lo que significa que eres menos vulnerable a los ataques. Sin embargo, sobre todo los profesionales de la seguridad del correo encuentran más difícil implementar el sistema de par de claves de DKIM que el sistema de lista blanca de SPF. Aunque pueda parecer un poco más complicado, ambos protocolos de seguridad son sencillos de configurar una vez que conoces los pasos adecuados.
Diferencias clave entre SPF y DKIM
DKIM verifica los emails comprobando si su juego de claves pública y privada coincide con el dominio desde el que envías tu email. SPF verifica los emails comprobando tu dirección IP en una lista blanca de tu dominio, que incluye a todos los que están autorizados a enviar emails en tu nombre.
A diferencia de SPF, DKIM comprueba si el cuerpo o la cabecera del email se han modificado desde que salió del servidor emisor. Aunque DKIM también verifica la autoridad o el remitente original igual que SPF, además garantiza que tus emails no se han modificado al pasar de un servidor a otro. Los ataques maliciosos pueden producirse por esta vía mediante el uso de servidores de retransmisión que alteran los emails para incluir ciberataques.
Cómo funcionan juntos SPF y DKIM
Aunque puedes usar SPF y DKIM por separado, lo recomendable es que utilices ambos protocolos. SPF no puede garantizar que los emails no se modifiquen en tránsito, DKIM sí. DKIM no puede comprobar direcciones IP contra una lista de remitentes verificados, SPF sí.
La cuestión es que, aunque DKIM y SPF puedan parecer similares, sus diferencias de detalle hacen que cubran mutuamente sus carencias. Usar ambos para crear un entramado de protocolos de seguridad que se solapan y se apoyan entre sí da lugar a un sistema de seguridad mucho más sólido que un único protocolo de correo.
La adopción de ambos es ya casi universal entre los remitentes serios. Entre los dominios que analizamos, nuestros datos de benchmark muestran que el 90% publica un registro SPF válido, mientras que el 87% firma su correo con una clave DKIM que funciona. Eso deja una minoría nada despreciable todavía expuesta en una capa o en la otra, así que confirmar que tienes las dos en su sitio es una de las victorias más sencillas para tu entregabilidad.
Implementar SPF y DKIM
Configurar SPF es sencillo cuando conoces los pasos correctos. Configurar los registros SPF implica crear una lista blanca de remitentes verificados que tienen permiso para usar tu dominio para enviar emails. El administrador del dominio debe implementar esta lista en sus registros DNS. Un ejemplo de este registro tiene este aspecto: "v=spf1 ip4:182.155.0.1 -all".
Este registro funciona identificando una dirección IP verificada desde la que enviar emails y rechazando todo email que intente usar el dominio sin venir de esa dirección IP. Hay varios modificadores que puedes usar para ajustar tus registros, con las incorporaciones habituales "a" y "mx", que sirven para verificar nombres de dominio que tienen un registro de dirección o un registro MX.
Para ir más lejos con tu estrategia de seguridad del correo, también puedes configurar un protocolo DMARC que decida qué hacer con los emails que SPF o DKIM consideren inseguros. Muchos profesionales de la seguridad del correo encuentran difícil determinar las diferencias entre SPF vs DMARC y DMARC vs DKIM, pero la división entre estos protocolos es sencilla. SPF y
DKIM son dos protocolos de autenticación similares que usan métodos distintos para determinar si un email vino o no de un remitente verificable. DMARC es la estrategia que aplicas con esa información, ya elijas rechazar todos los emails que no superen SPF o DKIM, o simplemente dejar que se envíen pero marcarlos como sospechosos.
Problemas comunes y soluciones
Las configuraciones de DKIM y SPF no siempre funcionan como quieres. Es esencial estar atento y resolver cualquier incidencia que surja.
Uno de los problemas más habituales al usar el protocolo SPF es un "fail" del email, cuando el email no se entrega porque la dirección IP del remitente no coincide con la política SPF. Esto no siempre da lugar a una notificación del resultado, así que es importante conocer el problema y comprobarlo tú mismo. Hay varias formas de evitar estos fallos de SPF.
Primero, puedes probar tu estrategia de correo antes de desplegarla. Los métodos para hacerlo dependen de la plataforma que elijas. Puedes pegar tu dominio en nuestro comprobador de SPF gratuito para confirmar que tu registro está publicado correctamente y que lista a todos los remitentes autorizados. Por ejemplo, en Google puedes probar tus sistemas SPF y DKIM enviándote un email de prueba a ti mismo y revisando los detalles del mensaje abierto. Si tus protocolos de seguridad funcionaron, el email debería mostrar "mailed-by: tu dominio" y "signed-by: tu dominio".
Segundo, puedes cambiar tu registro SPF para que aplique fallos "hard" en vez de fallos "soft", lo que significa que tus emails se negarán a enviarse y te avisarán en lugar de acabar en silencio en la carpeta de spam de tu destinatario. Es un cambio fácil: basta con cambiar "~all" por "-all" en tu registro SPF.
De forma parecida, con DKIM pueden surgir muchos problemas a la hora de implementar tus claves. Tanto si generas tus claves manualmente como si lo haces a través del sistema de tu proveedor de servicios de internet, es importante mantener el contacto con tu proveedor de correo. Esta comunicación es necesaria para garantizar que tu clave privada está bien configurada para proteger tus emails. Pasar tu dominio por nuestro comprobador de DKIM es una forma rápida de verificar que tu clave publicada coincide con la firma de tu correo saliente.
Algunos servidores pueden rechazar mensajes autenticados con DKIM por cualquier motivo. Es esencial iniciar y mantener el contacto con esos servidores para asegurarte de que tus emails se envían igualmente. Prueba tu estrategia de correo con varios servidores y receptores para garantizar que no habrá problemas una vez desplegada.
El futuro de la seguridad del correo
Por desgracia, la irrupción de la IA ha desarrollado formas novedosas y maliciosas de que los estafadores esquiven los protocolos de seguridad del correo establecidos. Con el tiempo, aparecerán nuevas maneras de superar tanto SPF como DKIM que todavía desconocemos.
Muchos proveedores de servicios de correo están estudiando nuevas formas de combatir los ciberataques. Google y Yahoo ofrecerán nuevos protocolos de autenticación del correo para proveedores de correo de alto volumen desde principios de 2024.
Y esto es solo el principio. Las plataformas de servicios de correo compiten por tener los mejores protocolos de seguridad del correo, lo que significa que los sistemas SPF y DKIM siempre evolucionarán para hacer frente a las amenazas que vengan. Si te mantienes tan atento y vigilante como tu proveedor de servicios de correo, siempre irás dos pasos por delante de quien intente atacar tu correo.
Conclusión
Tanto SPF como DKIM juegan un papel crítico a la hora de reforzar la seguridad y la integridad del correo. Cada uno de estos protocolos sirve para verificar que los emails vienen del remitente correcto, protegiendo a tu clientela de los ciberataques.
Esta guía se ha centrado en detallar SPF y DKIM por separado, destacar sus diferencias y dar orientación sobre su implementación y la resolución de problemas. Toda esta información se puede usar para elaborar la estrategia de seguridad del correo perfecta para tu marca.
Si todavía te cuesta dar con la mejor forma de implementar los protocolos SPF y DKIM, quizá haya llegado el momento de consultar a un consultor de entregabilidad de correo.
