SPF, DKIM y DMARC: tres cerraduras en una puerta

Por qué hace falta

El correo se diseñó en una época en la que los participantes se conocían. Por eso no lleva ninguna comprobación de quién envía un mensaje. La línea del remitente es simplemente un campo del mensaje, y ese campo lo rellenas tú, igual que puedes escribir lo que quieras en un sobre.

De ahí sale el fraude que más vemos en la práctica, y no es el correo de phishing suelto lleno de faltas. Es la nota correcta de un proveedor diciendo que ha cambiado el número de cuenta. O el correo del director a administración, breve y con prisa, sobre un pago que tiene que salir hoy.

Ambos funcionan porque el receptor no tiene motivo para dudar: arriba hay una dirección conocida. Y ambos se pueden evitar en el servidor que recibe, siempre que tú hayas dejado registrado quién puede enviar en nombre de tu dominio.

Hay otra razón para hacerlo que nada tiene que ver con la seguridad: llegar. Los grandes proveedores de correo empezaron a exigir estos registros en 2024 a quien envía en volumen. Un dominio sin DMARC acaba más a menudo en la carpeta de no deseados, y eso lo notas en tus facturas y en tu boletín mucho antes de notarlo en un incidente.

SPF: quién puede enviar en tu nombre

SPF es una lista. En tu DNS pones una línea que dice qué servidores pueden enviar correo con tu dominio como remitente. El servidor receptor mira de dónde vino el mensaje, lee tu lista y comprueba si encaja.

Suena más simple de lo que es, porque esa lista casi nunca es solo tu servidor de correo. Hay un programa de contabilidad que manda facturas, un servicio de boletines, un sistema de candidaturas, un sistema de tickets que manda confirmaciones y a veces un servidor viejo que nadie reconoce. Toda parte que envíe en tu nombre tiene que estar dentro.

Aquí fallan dos cosas de serie:

• El límite de diez consultas. Un registro SPF puede costar como máximo diez consultas DNS. Cada servicio que añades cuenta, y una organización con un puñado de proveedores lo pasa fácilmente. Una vez pasado, la respuesta no es «no válido» sino «fallido», y eso puede afectar a tu propio correo.
• La cola del registro. Si acaba en ~all, tu dominio dice «el resto es sospechoso, pero entrégalo igual». Si acaba en -all, dice «el resto no es nuestro». Lo segundo es la intención, y es también lo que crea riesgo cuando tu lista está incompleta.

Donde SPF se rompe de todas formas es en el reenvío. Si alguien reenvía tu correo a otra dirección, lo envía su servidor, y ese servidor no está en tu lista. No es un fallo que puedas arreglar; es la razón por la que SPF solo no basta.

DKIM: una firma que sobrevive al reenvío

DKIM resuelve justo eso. En lugar de mirar de dónde viene un mensaje, le pones una firma. Tu servidor firma los mensajes salientes con una clave privada; la clave pública correspondiente está en tu DNS. El receptor la recoge y comprueba si la firma encaja con el contenido.

La ventaja es que la firma va pegada al mensaje y no al servidor. Si el correo se reenvía, la firma viaja con él y sigue cuadrando. Si el contenido se altera por el camino, deja de cuadrar, que es exactamente lo que quieres saber.

Lo que hay que vigilar aquí:

• Cada parte que envía firma por separado. Tu servicio de boletines tiene su propia clave bajo su propio selector. Un único registro DKIM que lo cubra todo no existe.
• Longitud de clave. Algunas instalaciones antiguas siguen en 1024 bits. Las claves nuevas van a 2048.
• Sustituirlas forma parte del trabajo. Una clave que lleva diez años ahí es una clave que ya no gestiona nadie. Es el mismo razonamiento que en gestión de claves.

SPF y DKIM juntos cubren casi todos los casos. Lo que ninguno hace es decir qué debe pasar cuando algo sale mal. Emiten un veredicto y dejan que el receptor adivine.

DMARC: el registro del que sí sale algo

DMARC es la capa de encima, y es el único de los tres del que un servidor receptor saca una instrucción. Dice dos cosas: qué quieres que se haga con el correo que no pasa SPF ni DKIM, y adónde deben ir los informes.

Hay tres posiciones y corresponde recorrerlas en este orden:

• Observar. No hagas nada, pero mándame cada día un resumen de quién ha enviado en nombre de mi dominio. Aquí se empieza y no puede hacer daño.
• Cuarentena. Lo que no cuadra va a la carpeta de no deseados. El correo sigue llegando, pero no a la bandeja de entrada.
• Rechazar. Lo que no cuadra se rechaza y no llega a ningún sitio. Este es el objetivo, y es también la posición en la que un proveedor olvidado se hace visible porque su correo desaparece.

Hay una sutileza que se pasa por alto a menudo. DMARC no solo mira si SPF o DKIM pasan, sino también si el dominio que pasa es el mismo que ve el lector. Un servicio de boletines que envía y firma con su propio dominio pasa SPF y DKIM y aun así suspende DMARC. Por eso hay que configurar esos servicios para que envíen desde tu dominio; casi todos los proveedores tienen un ajuste para ello.

Los informes diarios que recibes son XML y no se leen a mano. Hay servicios que los convierten en un resumen legible, y merecen la inversión: sin esos informes das el último paso a ciegas.

El orden en que se activa

La mayoría de los textos sobre esto van de los registros. El trabajo de verdad está en las semanas intermedias, y ahí es donde se tuerce cuando alguien quiere despacharlo en una tarde.

Así lo hacemos nosotros:

• Semana uno: inventariar y observar. Poner SPF y DKIM para las partes que conoces, DMARC en observación. Todavía no cambia nada en la entrega.
• Semanas dos a cuatro: leer los informes. Aquí sale la lista de qué más envía en tu nombre. Siempre es más de lo que nadie creía: una tienda antigua, el programa de registro horario, un servicio de marketing de una campaña de hace dos años.
• Semana cuatro: ordenar y conectar. Lo que quieras conservar se conecta bien a tu dominio. Lo que nadie reconoce se apaga, y eso suele ser la mitad.
• Semana cinco: cuarentena. Pasa a la posición intermedia y sigue leyendo los informes. Lo que se te escapó se anuncia ahora, con un compañero diciendo que sus correos de confirmación están en spam.
• Solo entonces: rechazar. Si en dos semanas no aparece nada nuevo en los informes, esto es un no acontecimiento. Si lo haces antes, no lo es.

Cuenta con seis a ocho semanas de principio a fin, y la mayor parte es esperar y leer. Eso no es lento; es lo que separa un dominio cerrado de un dominio cuyas facturas dejan de llegar.

Y pon después un recordatorio. Todo servicio nuevo que empiece a enviar en tu nombre — un sistema de personal nuevo, otro proveedor de boletines — hay que añadirlo, y el día que alguien lo olvide su correo no llegará.