SPF no es suficiente: la brecha de autenticación en las empresas

Tu SPF supera todas las pruebas gratuitas en línea. La sintaxis es clara. El include La cadena se resuelve. Sin embargo, los correos electrónicos de tu sistema de automatización de marketing siguen llegando a la carpeta de spam o son rechazados.

Esa discrepancia (entre lo que indica una herramienta SPF y lo que ocurre realmente en el entorno de producción) es donde la mayoría de SPF en las empresas fallan de forma imperceptible.

Esta guía explica por qué algunos mensajes que superan SPF siguen fallando, qué requiere realmente una implementación en entorno de producción y por qué SPF debe considerarse un control de seguridad continuo y no una solución puntual para la entregabilidad. Un resultado «verde» en una herramienta SPF es un punto de partida, no la meta.

Por qué las herramientas SPF te dan una falsa sensación de seguridad

La mayoría damas realizan SPF sintáctica SPF . Confirman que tu registro está estructurado de acuerdo con la RFC 7208, que include los mecanismos se resuelvan y que no se haya superado el límite de 10 consultas en el momento de la consulta. Eso es todo lo que hacen.

La corrección sintáctica y la alineación operativa son cosas diferentes. Un registro puede superar todas las comprobaciones automáticas y, aun así, fallar en producción, ya que la producción implica una resolución de DNS en tiempo real y un recuento de consultas que varía a medida que cambia la infraestructura del proveedor.

El periodo de propagación del DNS

Los valores de TTL del DNS determinan durante cuánto tiempo los servidores de resolución almacenan en caché tu SPF . Cuando publicas un nuevo registro o modificas uno ya existente, este no es visible al instante para todos los servidores de Internet. La propagación puede tardar entre unos minutos y 48 horas.

Durante ese periodo, algunos servidores recuperan tu antiguo SPF . Otros recuperan el nuevo. Si has añadido una nueva plataforma de envío y los correos empiezan a enviarse antes de que se complete la propagación, se producen errores SPF sin causa aparente.

Para confirmar la propagación tras un cambio en el registro, es necesario realizar pruebas desde varios servidores.

El límite de 10 consultas en el entorno de producción

La RFC 7208 limita SPF 10 consultas de DNS durante la evaluación. Cada include, a, mxy exists Cualquier mecanismo que requiera una consulta DNS cuenta para ese límite. Si se supera, se produce un resultado «PermError», que la mayoría de los servidores receptores interpretan como un error.

Este límite se aplica en el momento de la evaluación. Una comprobación SPF resuelve tu includes y cuenta las consultas, pero lo hace en función del estado actual del DNS, lo que significa que un resultado SPF de la semana pasada no dice nada sobre tu recuento de consultas de hoy.

Cambio en SPF de un proveedor. Un proveedor al que haces referencia a través de include pueden a su vez hacer referencia a otros registros, cada uno de los cuales se suma a tu recuento. Si ese proveedor añade un nuevo include Por su parte, el mecanismo hace que tu recuento de consultas aumente sin que tengas que tocar tu propio DNS.

Se trata de un problema habitual en las empresas que utilizan varias plataformas SaaS para el correo electrónico transaccional, las campañas de marketing, las notificaciones de RR. HH. y la gestión de incidencias. Una implementación que hoy se encuentra holgadamente dentro del límite puede sobrepasarlo tras un simple cambio en la infraestructura de un proveedor del que no tenías conocimiento.

SPF es la medida de mitigación estándar: resolver todos include asociarlas a sus direcciones IP subyacentes y publicarlas directamente. Sin embargo, la simplificación conlleva sus propias exigencias operativas. Los rangos de IP de los proveedores cambian, y un registro simplificado que era preciso hace seis meses puede que ahora excluya direcciones IP que tus proveedores están utilizando activamente. Sin automatización, la simplificación genera un registro que, con el tiempo, se va alejando de la realidad.

SPF como control continuo

SPF cobra cada vez más relevancia en el ámbito de la auditoría, ya que marcos normativos como el RGPD y la norma PCI DSS exigen a las organizaciones que demuestren que las comunicaciones están protegidas mediante controles técnicos adecuados.

Un SPF que se publique, se mantenga y se supervise garantiza SPF . Uno que se configuró hace dos años y que nunca se ha revisado desde entonces, no lo garantiza.

Para un CISO que se esté preparando para una revisión o auditoría de seguridad, SPF debe considerarse un control dinámico:

1. Publicado: El registro existe y abarca todos los dominios de envío activos.
2. Actual: Los remitentes autorizados reflejan la infraestructura de envío actual.
3. Supervisado: Cambios en los proveedores includes o se detectan rangos de direcciones IP antes de que provoquen fallos
4. Documentado: Se registran y pueden consultarse la titularidad , la justificación y la fecha de la última revisión.

Un auditor que pregunte sobre SPF debería recibir un registro actualizado, un registro de cambios y pruebas de supervisión, y no una captura de pantalla de una herramienta SPF en la que aparezca un visto bueno en verde.

Por qué SPF por sí sola no es suficiente

SPF abarca el dominio del campo «De» del sobre. No abarca el encabezado «De» que ve el destinatario. Un atacante puede registrar un dominio, publicar un SPF válido para él y enviar mensajes que superen SPF, al tiempo que muestra tu dominio en el campo «De» visible.

DKIM confirma que el mensaje no ha sido alterado durante su transmisión y que ha sido enviado por una fuente autorizada.

DMARC agrupa estos controles. Exige que DKIM SPF DKIM , y que el resultado coincida con el dominio del encabezado «De».

Sin DMARC, DKIM SPF DKIM tienen carácter meramente orientativo, y los servidores receptores pueden optar por actuar en consecuencia o ignorarlos. Con DMARC p=reject, un mensaje que no cumpla DKIM SPF DKIM se rechaza de inmediato.

La cuestión operativa es la siguiente: SPF un componente necesario, pero no constituye un control completo. Las empresas que han implementado SPF se han quedado ahí solo han abordado una de las tres capas de la pila de autenticación. Sin DMARC , SPF pueden no tener ninguna consecuencia, y los servidores receptores se ven obligados a tomar sus propias decisiones sobre los correos electrónicos no autenticados.

Cómo puede ayudarte Sendmarc

La gestión SPF escala empresarial, en múltiples dominios, filiales y un panorama de remitentes en constante cambio, requiere algo más que una revisión manual periódica. Sendmarc ofrece a los equipos de seguridad y de TI una visibilidad unificada de DMARC SPF, DKIM y DMARC en todos los dominios, de modo que los remitentes no autorizados o desconocidos y los errores de configuración salgan a la luz antes de que afecten a la capacidad de entrega.

SPF automatizada SPF garantiza la precisión de los registros a medida que cambian los rangos de IP de los proveedores, sin necesidad de un seguimiento manual.reporte DMARC reporte los fallos de alineación en el momento en que se producen, lo que reduce el trabajo de investigación manual que, de otro modo, absorbería a los equipos de seguridad.

Para los responsables de cumplimiento normativo, esta misma visibilidad proporciona el registro de auditoría que requiere una revisión de seguridad: la configuración actual, los cambios históricos y el estado de cumplimiento en toda la cartera de dominios, en consonancia con requisitos como PCI DSS, el RGPD y otros marcos normativos en constante evolución.

Para los CISO, esto reduce la diferencia entre lo que indica una herramienta SPF y cómo funciona realmente SPF en entorno de producción.

Explora la plataforma Sendmarc para descubrir cómo la visibilidad centralizada, la simplificación automatizada y la supervisión continua mantienen SPF precisos y listos para una auditoría a medida que evoluciona tu infraestructura de envío.