¿Por qué necesitamos DMARC?

Como se ha señalado en entradas anteriores, SPF y DKIM fueron dos marcos que intentaron corregir el problema de la seguridad del correo electrónico. En resumen, SPF le dice a un receptor que el correo proviene de un servidor autorizado que tiene permiso para enviar ese correo, mientras que DKIM es un marco que asegura que el correo es el mismo que se envió.

Sin embargo, el principal problema de ambos marcos era que cuando el servidor receptor comprobaba la configuración SPF y/o DKIM y veía que fallaba, no siempre sabía qué hacer con el correo en cuestión.

¿Debería ponerlo en el spambucket, o no aceptarlo en absoluto? Al fin y al cabo, el SPF puede configurarse a menudo de forma incorrecta, aunque el correo en sí sea legítimo.

Lo que empezó a suceder es que muchas empresas estaban publicando registros SPF que eran incorrectos o incompletos. Los receptores recibían tanto correo de estos servidores incorrectos que no sabían qué hacer. Así que decidieron que el correo era legítimo y que debían ignorar los registros incorrectos y enviarlo de todos modos.

Como solución a esto, se diseñó una política llamada DMARC que se asienta sobre el SPF y el DKIM. Como es una política que publica el propietario del dominio, pone el control de lo que el receptor debe hacer con un correo concreto en manos del propietario del dominio.

Recuerde que en el pasado, los receptores no sabían qué hacer con un correo si fallaba las comprobaciones SPF o DKIM. Ahora, con DMARC, el propietario del dominio dice esencialmente al servidor receptor: "Si recibe este correo de mi dominio y falla SPF o DKIM, no lo acepte."

Esto facilitó la tarea de los servidores receptores. Por fin, no tenían que decidir qué hacer con un determinado correo; el propietario del dominio les decía qué hacer.

La segunda función clave que hacía DMARC era enviar un informe al propietario del dominio al recibir un correo que decía, por ejemplo "Recibimos un correo de usted, y vino de esta IP en particular, y estaba pasando SPF y fallando DKIM."

Con este ejemplo, el servidor receptor no sólo está recibiendo instrucciones de los propietarios de los dominios sobre lo que debe hacer, sino que también está informando a los propietarios de los dominios sobre el correo que están recibiendo de ellos. Esto es muy importante, porque a menudo los propietarios de los dominios ni siquiera son conscientes de todos sus propios servidores de recepción.

Algunas multinacionales tienen cientos de servidores y no los conocen todos. Incluso en el caso de las pequeñas empresas, puede haber varios servidores que envíen correo: a través de un sistema CRM, un sistema de tickets, un sistema de facturación y más.

En otro escenario, puede haber un empleado de una pequeña empresa que empiece a hacer email marketing usando Mailchimp como servidor de envío, sin que nadie más conozca la plataforma. El problema aquí es que si se implementa el SPF y Mailchimp no está autorizado como remitente, todos los correos de Mailchimp empezarán a fallar.

Por eso estos informes DMARC son tan importantes, ya que indican a los propietarios de los dominios qué servidores están enviando correo, y cuáles deben ser auditados y autorizados en su caso.

Estos informes crean una visibilidad total para el propietario del dominio, ya que puede ver a todos los que envían correo desde su dominio. Esto, a su vez, hace que sea mucho más fácil para ellos autorizar los servidores correctos, ya que antes pueden no haber sabido de ellos.

La implementación de DMARC crea una forma sencilla de devolver el control al remitente del correo electrónico, independientemente de dónde se envíe.