¿Qué parámetros deben asociarse a DMARC?

Los parámetros DMARC son importantes para la primera implementación a fin de garantizar que su registro esté libre de errores y no se enfrente a problemas de entregabilidad.

por

Tiempo de lectura: 4 min
¿Qué parámetros deben asociarse a DMARC?
Índice-

El correo electrónico es uno de los medios de comunicación más utilizados, pero es muy propenso a sufrir ataques de piratas informáticos y spammers. Por lo tanto, la implementación de SPF , DKIM y DMARC protege sus conversaciones de correo electrónico y evita que los actores de amenazas las secuestren. Este blog tiene como objetivo analizar los principales parámetros de DMARC que lo ayudarán a comenzar con el proceso.

¿Qué es DMARC?

Para comprender qué parámetros deben asociarse con DMARC, primero debe saber qué es DMARC y cómo funciona.

DMARC es la abreviatura de Domain-based Message Authentication Reporting and Conformance. Es un protocolo de autenticación de correo electrónico que le permite crear y publicar una política de seguridad específica en torno a su proceso de autenticación de correo electrónico. Indica al buzón del destinatario cómo debe tratar los correos electrónicos no auténticos enviados desde su dominio oficial.

¿Cómo funciona DMARC?

DMARC se implementa junto con SPF y DKIM. El propietario del dominio crea y publica un registro DNS DMARC en su proveedor de DNS. Cuando se envía un correo electrónico desde ese dominio (ya sea por usted y sus empleados o por ciberdelincuentes), el servidor de correo del destinatario valida su autenticidad comprobando si el dominio tiene un registro DMARC publicado en DNS.

Además, el servidor del destinatario realiza comprobaciones DKIM y SPF para saber si el remitente es realmente quien dice ser. Se realizan las siguientes comprobaciones:

  • Si el mensaje tiene una Firma DKIM?
  • ¿Si la dirección IP del remitente coincide con los remitentes autorizados del registro SPF?
  • ¿Las cabeceras de los mensajes superan las pruebas de alineación de dominios?

Una vez obtenidos los resultados SPF y DKIM, el servidor de correo aplica la política. Al final, se envía un informe llamado DMARC Aggregate Report a la dirección de correo electrónico especificada para recibir informes.

Políticas DMARC

Uno de los principales parámetros DMARC son las tres políticas DMARC. Puede supervisarlas durante algún tiempo y luego decidir cómo desea que los buzones de correo de los destinatarios traten los correos electrónicos no autenticados enviados desde su dominio. Estas son las tres políticas:

Política de supervisión: p=ninguna

Este política DMARC indica a los servidores de correo electrónico que envíen informes a la dirección mencionada en la etiqueta rua o ruf de su registro DMARC. Se denomina política de solo supervisión y se aplica en la fase inicial del cumplimiento de DMARC para analizar la actividad de su canal de correo electrónico.

Ofrece información sobre el canal de correo electrónico, pero no indica a los servidores receptores cómo deben tratar los mensajes que no superan las comprobaciones DMARC. 

Política de cuarentena: p=quarantine

Este parámetro de registro DMARC indica a los servidores receptores que coloquen los correos electrónicos que no superen la autenticación DMARC en la carpeta de correo no deseado. Los correos electrónicos que superen la prueba de autenticación irán a parar a la bandeja de entrada. Esto minimizará las posibilidades de que te dirijas accidentalmente a un correo de phishing, pero dichos correos maliciosos seguirán allí, en la carpeta de spam.

Política de rechazo: p=reject

El parámetro DMARC p=reject indica a los servidores de correo electrónico que rechacen completamente la entrada de correos electrónicos que no superen las comprobaciones de autenticación DMARC. Todos los correos electrónicos aprobados se entregan en la bandeja de entrada. Sin embargo, hay posibilidades de que se produzcan falsos fallos, lo que significa que los correos electrónicos auténticos y significativos también pueden no llegar a los destinatarios previstos en ocasiones.

Tipos de etiquetas DMARC y su función

Las etiquetas DMARC especifican aspectos de los parámetros DMARC y no todas son tan importantes y utilizadas como las demás. Se dividen en tres categorías.

  • Requerido: Son etiquetas obligatorias. Cada registro DMARC TXT tiene que empezar con la etiqueta obligatoria 'v' o versión y añadir su valor como 'DMARC1'.
  • Opcional pero recomendado: No es necesario añadir estas etiquetas, sin embargo, ayudan a generar informes.
  • Opcional: Puede omitir estas etiquetas por completo.

Funciones de las etiquetas DMARC

Hay un total de 11 etiquetas importantes para los parámetros de registro DMARC y las etiquetas "v" y "p" son obligatorias. Conozcamos cuál es la función de cada etiqueta.

Nombre de etiqueta DMARC Tipo Función
v (versión) Requerido Esta etiqueta DMARC especifica la versión. Por ahora solo hay una versión, por lo que su valor es v=DMARC1.
p (política) Requerido El parámetro DMARC muestra el modo de política DMARC. Indica al receptor que informe, ponga en cuarentena o rechace los correos electrónicos que no superen las comprobaciones de autenticación. 
adkim Opcional Es la abreviatura de modo de alineación DKIM. Su valor puede ser Estricto (s) o Relajado (r).

En el modo relajado, la validación muestra un resultado correcto si el registro DKIM verificado se dirige a un dominio d=sample.com, y la dirección de correo electrónico del remitente es de la categoría [email protected]. 

En el modo estricto, la validación muestra un resultado correcto cuando el correo electrónico procede de una dirección del dominio sample.com. Los subdominios no superan la validación.
aspf Opcional Este parámetro DMARC representa el modo de alineación SPF. Su valor puede ser Estricto (s) o Relajado (r). El valor predeterminado es Relajado "r".
sp (política de subdominios) Opcional La etiqueta DMARC sp especifica la política del subdominio. El modo de política se configura para su dominio principal (p). 
fo (notificación de fallos) Opcional El valor predeterminado de la etiqueta DMARC fo es 0. Se refiere a las opciones de notificación de fallos que los propietarios de dominio pueden seleccionar. 

Las opciones disponibles son: 

fo=0: se le envía un informe de fallo/forense DMARC si su correo electrónico falla tanto la alineación SPF como DKIM.

fo=1: se le envía un informe de fallo/forense DMARC cuando su correo electrónico falla en la alineación SPF o DKIM.

fo=d: se envía un informe de fallo DKIM si la firma DKIM del correo electrónico no supera la validación, independientemente de la alineación

fo=s: se envía un informe de fallo SPF si el correo electrónico no supera la evaluación SPF, independientemente de la alineación.
ruf (informe de fallo RUI) Opcional pero recomendado Especifica dónde debe enviarse el informe DMARC forensic ruf. Actualmente, solo unas pocas empresas que cumplen con DMARC lo envían.
rua (informe agregado RUI) Opcional pero recomendado Mientras se explican los parámetros DMARC, la etiqueta rua muestra la dirección de correo electrónico o el servidor web al que las empresas de notificación deben entregarlo.
rf (formato de informe) Opcional El valor por defecto de esta etiqueta DMARC es 'afrf'. Registra formatos de informes forenses.
pct (porcentaje) Opcional Su valor por defecto es '100'. Esta etiqueta indica el porcentaje de correos electrónicos a los que se intenta aplicar el modo de política

Por ejemplo, "pct = 40" filtrará el 40% de los correos electrónicos.
ri (intervalo del informe) Opcional El valor por defecto de la etiqueta ri es '86400'. Especifica el intervalo de tiempo en segundos entre dos informes agregados consecutivos. 

Resumen

Los parámetros DMARC trabajan conjuntamente para ayudarle a prevenir ataques de phishing y spoofing intentados en nombre de su marca. Funciona en conjunción con SPF y DKIM, donde se aplican las políticas DMARC para indicar al servidor receptor cómo tratar los correos electrónicos que no superan las comprobaciones de validación. Las tres etiquetas son p=ninguna (no se toma ninguna medida con los correos que fallan), p=cuarentena (los correos que fallan van a parar a la carpeta de spam en lugar de a la bandeja de entrada) y p=rechazar (los correos que fallan no pueden entrar en los buzones de los destinatarios).

Últimas publicaciones de Ahona Rudra (ver todas)
Data2cloud y PowerDMARC amplían sus operaciones en Ománd2c powerdmarcCómo configurar Single Sign On SSO con Microsoft Azure Active DirectoryCómo configurar el inicio de sesión único (SSO) con Microsoft Azure Active Directory...