Configuración de DNS para correo y sitio: Parte 2 — Protección del correo (SPF, DKIM, DMARC)

Además de los registros A y MX para correo, hay otros tres registros importantes: SPF, DKIM y DMARC. Confirman que los mensajes realmente se envían en nombre de su dominio, protegen contra la falsificación de la dirección del remitente y ayudan a que los correos no terminen en spam. Desde febrero de 2024, Gmail y Yahoo exigen que los remitentes que envíen más de 5000 correos al día configuren los tres registros.

• SPF (Sender Policy Framework): quién está autorizado a enviar correo

  Qué es. SPF es un registro de texto (TXT) en el que se enumeran los servidores que tienen derecho a enviar correos en nombre de su dominio.

  Para qué sirve. Protege contra la falsificación de la dirección del remitente (spoofing). Si un correo supuestamente de su dominio llega desde un servidor que no está en el SPF, los servicios de correo pueden marcarlo como spam o rechazarlo.

  Ejemplo:

  example.ru. IN TXT "v=spf1 mx include:_spf.yandex.net -all"

  v=spf1 — versión de SPF. mx permite el envío a los servidores indicados en los registros MX del dominio. include:_spf.yandex.net añade los servidores de Yandex 360, si usted envía correo a través de ese servicio. -all significa que a todos los demás servidores se les prohíbe el envío. Un dominio solo puede tener un registro SPF, y en su verificación se permiten como máximo diez consultas DNS (cada include, mx y a cuenta como una consulta).

• DKIM (DomainKeys Identified Mail): firma digital del mensaje

  Qué es. DKIM añade a cada mensaje saliente una firma digital. El destinatario la verifica con la clave pública publicada en el DNS.

  Para qué sirve. La firma confirma que el mensaje fue enviado desde un servidor autorizado y no fue modificado en tránsito. Esto aumenta la confianza en los correos y reduce la probabilidad de que vayan a spam.

  Ejemplo:

  Primero hay que generar un par de claves. Normalmente esto lo hace el servicio de correo o el servidor, y a usted le queda publicar la clave pública en el DNS.

  selector._domainkey.example.ru. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

  selector — nombre de la clave, lo define el servicio de correo. p= — la propia clave pública. La longitud recomendada de la clave RSA es de 2048 bits; dicha clave supera los 255 caracteres, por eso en el DNS se escribe en varias cadenas entre comillas dentro de un mismo registro.

• DMARC (Domain-based Message Authentication, Reporting and Conformance): qué hacer con los mensajes no verificados

  Qué es. DMARC es un registro de texto (TXT) que le indica a los servicios de correo qué hacer con los mensajes que no superan las comprobaciones SPF y DKIM, y a dónde enviar los informes sobre esos mensajes.

  Para qué sirve. DMARC vincula SPF y DKIM con la dirección del remitente que ve el destinatario: un mensaje pasa la comprobación solo si el dominio del SPF o del DKIM coincide con el dominio en el campo «De». De este modo, el propietario del dominio decide qué hacer con los mensajes falsificados.

  Ejemplo:

  _dmarc.example.ru. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.ru"

  v=DMARC1 — versión. p=quarantine indica poner en cuarentena (spam) los mensajes que no pasen la comprobación. Otras opciones son p=none (solo recopilar informes) y p=reject (rechazar los mensajes). rua=mailto: establece la dirección para los informes agregados. Es sensato empezar con p=none, comprobar por los informes que todos sus correos legítimos pasan la comprobación, y solo entonces endurecer la política.