DMARC para dominios y subdominios

¿Qué es DMARC?

DMARC es un protocolo de autenticación de correo electrónico que permite a los propietarios de dominios especificar cómo deben tratarse los correos electrónicos no autenticados que provienen del dominio. DMARC se basa en dos tecnologías de autenticación preexistentes: SPF (Sender Policy Framework) y DKIM (DomainKeys Identified Mail). La política DMARC indica a los servidores de correo cómo tratar los mensajes que no pasen las verificaciones de SPF o DKIM.

Componentes clave de DMARC:

1. Política (Policy): Define cómo deben manejarse los correos no autenticados. Las políticas pueden ser ‘none’ (sin acción), ‘quarantine’ (poner en cuarentena) o ‘reject’ (rechazar).
2. Reportes (Reporting): DMARC genera informes agregados y forenses sobre los intentos de autenticación de correos, lo que nos ayudará a monitorizar y ajustar las políticas.
3. Alineación (Alignment): DMARC requiere que el dominio utilizado en SPF y DKIM esté alineado con el dominio visible en el campo «From» del correo electrónico.

Importancia de DMARC para la seguridad del correo electrónico.

La implementación de DMARC es crucial para protegernos de ataques como el phishing y el spoofing. Estos ataques buscan engañar a los destinatarios haciéndoles creer que un correo electrónico proviene de una fuente confiable cuando, en realidad, no es así.

Beneficios de DMARC

• Reducción del phishing: DMARC ayuda a identificar y bloquear correos electrónicos fraudulentos antes de que lleguen a los destinatarios.
• Protección de la reputación de la marca: Al evitar que los atacantes utilicen el dominio de una empresa para enviar correos falsos, se protege la reputación de la marca.
• Mejora de la entrega del correo: Los correos legítimos tienen más probabilidades de ser entregados correctamente, mejorando la comunicación con clientes y socios.

Implementación de DMARC para dominios y subdominios.

Paso 1: Configuración de SPF y DKIM

Antes de implementar DMARC, es fundamental asegurarse de que SPF y DKIM estén configurados correctamente.

• SPF: Define qué servidores están autorizados para enviar correos en nombre del dominio. Esto se hace mediante un registro SPF en el DNS del dominio.
• DKIM: Añade una firma digital a los correos electrónicos que permite al receptor verificar que el mensaje no ha sido alterado y proviene de una fuente autorizada. Esto se configura mediante registros DKIM en el DNS.

Paso 2: Creación del registro DMARC

Un registro DMARC se añade como un registro TXT en el DNS del dominio. A continuación presentamos un ejemplo básico de un registro DMARC:

v=DMARC1; p=none; rua=mailto:reportes@tu-dominio.com; ruf=mailto:forense@tu-dominio.com; sp=none; aspf=r; adkim=r

• v=DMARC1: Versión del protocolo DMARC.
• p=none: Política a aplicar (none, quarantine, reject).
• rua: Dirección de correo para informes agregados.
• ruf: Dirección de correo para informes forenses.
• sp=none: Política para los subdominios (opcional).
• aspf=r: Alineación de SPF (r = relajada, s = estricta).
• adkim=r: Alineación de DKIM (r = relajada, s = estricta).

Paso 3: Monitorización y ajuste de la política DMARC

Una vez implementado el registro DMARC, es importante monitorizar los informes recibidos para ajustar la política según sea necesario. Inicialmente, se recomienda usar la política ‘none’ para recibir informes sin afectar la entrega de correos. A medida que se revisan los informes y se ajustan los registros SPF y DKIM, se puede cambiar la política a ‘quarantine’ o ‘reject’.

DMARC y subdominios.

La configuración de DMARC también debe tener en cuenta los subdominios del dominio principal. La política para subdominios puede ser especificada usando el parámetro sp. Si no se define, los subdominios heredarán la política del dominio principal.

Ejemplo de configuración para subdominios:

v=DMARC1; p=reject; sp=quarantine; rua=mailto:reportes@tu-dominio.com; ruf=mailto:forense@tu-dominio.com; aspf=s; adkim=s

En este ejemplo:

• p=reject: La política para el dominio principal es rechazar los correos no autenticados.
• sp=quarantine: La política para los subdominios es poner en cuarentena los correos no autenticados.
• aspf=s y adkim=s: Alineación estricta para SPF y DKIM.

Consideraciones adicionales para subdominios

• Independencia de la política: Algunos subdominios pueden requerir políticas diferentes al dominio principal. Es posible definir registros DMARC específicos para cada subdominio.
• Monitorización continua: Al igual que con el dominio principal, es importante monitorizar los informes DMARC de los subdominios para ajustar las políticas y garantizar una protección efectiva.

Conclusión

La implementación de DMARC para dominios y subdominios es una medida esencial para proteger las comunicaciones por correo electrónico de la organización, al asegurar que solo los correos legítimos sean entregados y bloqueando aquellos que no pasan las verificaciones de autenticación.