Autenticación de correo electrónico: cómo funciona, importancia y protocolos

Imagina recibir correos electrónicos de cualquier persona sin saber si el remitente es legítimo. ¿Cómo sabrías en cuáles confiar? ¿A cuáles correos responderías y por qué?

Distinguir entre correos fraudulentos y legítimos confundiría a cualquiera. Afortunadamente, la autenticación de correos electrónicos maneja la mayor parte del trabajo pesado.

Ayuda a los proveedores de correo electrónico a determinar si un correo es de la persona que dice haberlo enviado. Si el proveedor se siente seguro de que el remitente es quien dice ser, aumentan las posibilidades de que el proveedor entregue el correo al destinatario previsto.

Los proveedores consideran el Protocolo de Autenticación de Mensajes Basado en Dominio, Informes y Conformidad (DMARC) como uno de los mejores protocolos de autenticación de correos electrónicos. Las organizaciones utilizan software DMARC para verificar que los correos de su dominio de empresa estén autenticados contra los estándares de DomainKeys Identified Mail (DKIM) y Sender-Policy Framework (SPF).

¿Por qué es necesaria la autenticación de correos electrónicos?

La autenticación de correos electrónicos tiene como objetivo prevenir actividades fraudulentas obvias, como intentos de estafa, pero hay algunas razones más sutiles por las que las organizaciones deberían priorizar técnicas efectivas de autenticación de correos electrónicos.

Reduce el riesgo de intentos de phishing y suplantación

Implementar la autenticación de correos electrónicos ayuda a reducir el riesgo de phishing y suplantación. Sin prácticas de autenticación de correos, cualquiera podría enviar correos a quien quisiera en cualquier momento. Aunque esto todavía ocurre ocasionalmente, sería casi imposible determinar si una persona que te envía un correo es quien dice ser sin prueba de identificación.

Mejora la entregabilidad de los correos electrónicos

Autenticar correos intenta atrapar spam y otros mensajes sospechosos. Un correo no autenticado es más probable que sea marcado como spam o rechazado por completo. Aumentar las probabilidades de la entregabilidad de tus correos es fundamental para asegurar que nuestros correos lleguen a las personas adecuadas.

Protege la imagen de una marca

Con demasiada frecuencia, alguien con intenciones no tan buenas crea una dirección de correo similar a la de una organización para presentarse como un empleado y cometer comportamientos fraudulentos como solicitar tarjetas de regalo o dinero para asuntos “urgentes”. El correo puede variar solo por uno o dos caracteres.

Situaciones como estas pueden dañar la reputación e imagen de una marca. Las empresas pueden perder la confianza de sus clientes actuales y potenciales. Aunque estas situaciones no son completamente prevenibles, la autenticación de correos puede ayudar a disminuir su probabilidad.

Protocolos de autenticación de correos electrónicos

La autenticación de correos electrónicos funciona verificando la legitimidad de un remitente de correo utilizando registros del Sistema de Nombres de Dominio (DNS). Los tres principales métodos de autenticación de correos electrónicos que más se utilizan, cada uno con diferentes niveles de seguridad y configuración de DNS, se mencionan a continuación.

Sender Policy Framework

SPF indica a los servidores de correo quién puede enviar correos en nombre de un dominio. Este método permite a los propietarios de dominios especificar qué direcciones IP confían.

Los registros SPF funcionan así:

• Activas SPF para tu dominio y agregas tu registro a la configuración DNS de tu dominio.
• Luego, un usuario de tu dominio envía un correo a un destinatario previsto.
• El proveedor del destinatario previsto verifica el registro SPF para verificar la fuente y legitimidad de ese correo determinando si proviene de una dirección IP aprobada.
• El proveedor de correo establece si el correo debe pasar al destinatario y llegar a su bandeja de entrada o ir a la carpeta de spam.

Fuente: Mailtrap

Aunque los registros SPF apoyan la autenticación, no son infalibles ni precisos todo el tiempo, lo que significa que correos que son spam podrían terminar en la bandeja de entrada del destinatario y mensajes legítimos podrían ir a spam. Los correos reenviados también pueden causar fallos de autenticación porque un usuario reenvía el mensaje desde una nueva dirección IP por primera vez. Es probable que no esté incluida en el registro SPF del remitente original.

DomainKeys Identified Mail

DKIM utiliza criptografía de clave pública y privada para verificar la legitimidad de un remitente de correo para su dominio. Para la verificación, coincide una clave pública almacenada en los registros DNS con una clave privada en el correo, similar a una firma digital única.

Así es como funciona DKIM:

• La clave pública se almacena en los registros DNS del dominio para que los servidores receptores puedan acceder a ella.
• Un usuario envía un correo a un destinatario previsto. DKIM automáticamente "firma" el correo con una clave privada.
• El proveedor receptor accede a la clave pública en la configuración DNS e intenta hacer coincidirla con la clave privada en el correo.
• Si las claves coinciden, el proveedor autentica el correo y lo entrega con confianza al destinatario previsto.

Fuente: Mailtrap

A diferencia de los registros SPF, las firmas DKIM no suelen verse afectadas por el reenvío de correos siempre que el remitente no altere drásticamente el contenido del correo.

Autenticación de Mensajes Basada en Dominio, Informes y Conformidad

DMARC se basa en los métodos de validación SPF y DKIM para permitir a los propietarios de dominios especificar políticas para correos que no pasan los puntos de verificación. En otras palabras, DMARC intenta verificar un correo, y si no puede, determina cómo manejar el correo según lo que el propietario del dominio haya delineado en las políticas.

Así es como funciona DMARC:

• Un usuario envía un correo desde un dominio de empresa con una política DMARC.
• El servidor de correo del destinatario realiza verificaciones SPF y DKIM para validar si el remitente está autorizado para enviar un correo en nombre de ese dominio.
• Durante este proceso, DMARC busca:
  • Aprobación de DKIM
  • Aprobación de SPF
  • Alineación de DKIM, lo que significa que el dominio de la firma DKIM coincide con el dominio en el encabezado "De:"
  • Alineación de SPF, lo que significa que el dominio en el encabezado "De:" coincide con el dominio en el registro SPF
• Si el correo pasa DMARC, el destinatario recibirá el correo.
• Si el correo falla DMARC, el servidor de correo del destinatario puede determinar cómo manejar las pruebas fallidas según lo que especifique la política del propietario del dominio, lo que incluye lo siguiente.
  • Rechazar el correo y descartarlo completamente
  • Poner en cuarentena el correo enviándolo a spam
  • Sin acción; correos entregados

Fuente: Mailtrap

Para que DMARC pase, SPF o DKIM deben pasar la verificación y el dominio utilizado por SPF o DKIM debe alinearse con el dominio de la dirección del remitente del correo en la línea "De:". Los posibles resultados incluyen:

• Si tanto las verificaciones SPF como DKIM pasan y se alinean, DMARC pasa.
• Si SPF pasa y se alinea, y DKIM no pasa o no se alinea, DMARC pasa.
• Si DKIM pasa y se alinea, y SPF no pasa o no se alinea, DMARC pasa.
• Si SPF pasa pero no se alinea, y DKIM no pasa o no se alinea, DMARC falla.
• Si DKIM pasa pero no se alinea, y SPF no pasa o no se alinea, DMARC falla.
• Si SPF y DKIM fallan, DMARC falla.

Si deseas explorar más sobre DMARC y probarlo con tu dominio, consulta la consola "Aprender y Probar DMARC" como un excelente lugar para comenzar. Puedes enviar un correo y recorrer una demostración visual de cómo los servidores de correo se comunican y ejecutan verificaciones SPF, DKIM y DMARC.

Cómo hacer una verificación de autenticación de correos electrónicos

Realizar verificaciones regulares de autenticación de correos asegura que tu configuración esté funcionando correctamente y que tus correos estén seguros y validados. Hay varios pasos que puedes seguir para verificar la autenticación de correos. Aquí hay algunos:

• Usa herramientas dedicadas para pruebas de autenticación de correos. Puedes elegir herramientas como MxToolbox para ver cómo está funcionando tu configuración de SPF, DKIM y DMARC. Si usas Gmail, el panel de herramientas de Google Postmaster puede ayudar a monitorear la autenticación e información sobre correos salientes.
• Envía un correo de prueba desde el dominio que deseas probar. En Gmail, abre el mensaje, haz clic en 'más' junto al icono de respuesta y selecciona 'mostrar original'. Esto mostrará los encabezados completos del mensaje, incluidos los resultados de autenticación SPF, DKIM y DMARC. Si todos los protocolos muestran 'APROBADO', tu configuración es correcta.
• Revisa tus registros para detectar cualquier error relacionado con DKIM para identificar y corregir cualquier problema con tu configuración.

Marcado como spam

Los proveedores de correo utilizan la autenticación de correos para validar el remitente de un correo. Cuando no autenticas las direcciones de correo de tu dominio, tus correos pueden no llegar a tu destinatario previsto. Protégete a ti mismo y a tu organización contra intentos de phishing y una reputación dañada con SPF, DKIM y DMARC.

Sabe cómo reconocer ataques de phishing para que puedas prevenirlos.