Cómo validar que su autenticación de correo electrónico está configurada correctamente para DKIM, DMARC, SPF y BIMI
Si está enviando un volumen significativo de correos electrónicos de marketing, es probable que su correo electrónico no llegue a la bandeja de entrada si no ha configurado su autenticación de correo electrónico. Trabajamos con muchas empresas ayudándolas con su migración de correo electrónico, calentamiento de IP y problemas de entrega. La mayoría de las empresas ni siquiera se dan cuenta de que tienen un problema; piensan que los suscriptores simplemente no interactúan con sus correos electrónicos.
Phishing
El problema es el creciente problema de correos electrónicos maliciosos y fraudulentos, especialmente phishing, correos electrónicos El phishing es un ataque cibernético en el que individuos u organizaciones intentan engañar a las personas para que revelen información confidencial, como contraseñas o detalles de tarjetas de crédito, haciéndose pasar por entidades confiables. Esto se hace principalmente a través de correo electrónico. El atacante enviará un correo electrónico que parece ser de una fuente legítima, luego lo llevará a una página de inicio que cree que es un inicio de sesión u otra página de autenticación donde la víctima ingresa su información personal sin darse cuenta.
Los problemas invisibles de la capacidad de entrega
Hay tres problemas invisibles con la capacidad de entrega del correo electrónico que las empresas desconocen:
- Permiso – Proveedores de servicios de correo electrónico (ESP) administrar los permisos de suscripción... pero el proveedor de servicios de Internet (proveedor de servicios Internet) administra la puerta de enlace para la dirección de correo electrónico de destino. Es un sistema intrínsecamente defectuoso que ha disparado esquemas fraudulentos como el phishing. Puede hacer todo bien como empresa para adquirir permisos y direcciones de correo electrónico, y el ISP no tiene idea y puede bloquearlo de todos modos. Los ISP asumen que usted es un spammer o que envía correos electrónicos maliciosos... a menos que demuestre lo contrario.
- Ubicación de la bandeja de entrada – Los ESP promueven constantemente altas tasas de capacidad de entrega que no tienen sentido. Un correo electrónico enrutado directamente a la carpeta de correo no deseado y nunca visto por su suscriptor de correo electrónico es técnicamente entregado. Para monitorear realmente la ubicación de su bandeja de entrada, debe usar un lista de semillas y mire cada ISP para identificar si su correo electrónico llegó a la bandeja de entrada o a la carpeta de correo no deseado. Mi empresa también puede proporcionarle esta prueba.
- Reputación – Los ISP y los servicios de terceros también mantienen puntajes de reputación para la dirección IP de envío de su correo electrónico. Hay listas negras que los ISP pueden usar para bloquear todos sus correos electrónicos por completo, o puede tener una mala reputación que lo redirigiría a la carpeta de correo no deseado. Puede usar muchos servicios para monitorear su reputación de IP, pero sería un poco pesimista ya que muchos no tienen información sobre el algoritmo de cada ISP.
Autenticación de correo electrónico
La mejor práctica para mitigar cualquier problema de ubicación de la bandeja de entrada es asegurarse de haber configurado registros de autenticación de correo electrónico que los ISP puedan usar para buscar y validar que los correos electrónicos que envía realmente los envía usted y no alguien que finge ser su empresa. Esto se hace a través de algunos estándares:
- Marco de política del remitente (SPF) – el estándar más antiguo, es donde registras un registro TXT en tu registro de dominio (DNS) que establece qué dominios o IP direcciones desde las que envía correos electrónicos para su empresa. Por ejemplo, envío correos electrónicos para Martech Zone de Espacio de trabajo de Google.
v=spf1 include:_spf.google.com ~all- DominioAutenticación, informes y conformidad de mensajes basados en (DMARC): este estándar más nuevo tiene una clave cifrada que puede validar tanto mi dominio como el remitente. Mi remitente produce cada clave, lo que garantiza que los correos electrónicos enviados por un spammer no puedan ser falsificados. Si está utilizando Google Workspace, aquí está cómo configurar DMARC.
- DomainKeys Correo identificado (DKIM) – Trabajando junto con el registro DMARC, este registro informa a los ISP cómo tratar mis reglas DMARC y SPF y dónde enviar los informes de capacidad de entrega. Quiero que los ISP rechacen cualquier mensaje que no pase DKIM o SPF, y quiero que envíen informes a esa dirección de correo electrónico.
v=DMARC1; p=reject; rua=mailto:dmarc@martech.zone; aspf=s; fo=s;- Indicadores de marca para la identificación de mensajes (BIMI) – la incorporación más reciente, BIMI proporciona un medio para que los ISP y sus aplicaciones de correo electrónico muestren el logotipo de la marca dentro del cliente de correo electrónico. Hay tanto un estándar abierto como un estándar cifrado para Gmail, donde también necesita un certificado de marca verificada encriptada (CMV). Los certificados son caros, así que no lo haré todavía. Los VMC están siendo emitidos por dos Autoridades Verificadoras de Marcas aceptadas: confiar y DigiCert. Se puede encontrar más información en el grupo BIMI.
v=BIMI1; l=https://martech.zone/logo.svg;a=self;Cómo validar su autenticación de correo electrónico
Toda la información de origen, retransmisión y validación asociada con cada correo electrónico se encuentra dentro de los encabezados de los mensajes. Interpretarlos es bastante fácil si eres un experto en entregabilidad, pero si eres un novato, son increíblemente difíciles. Así es como se ve el encabezado del mensaje para nuestro boletín informativo; He atenuado algunos de los correos electrónicos de respuesta automática y la información de la campaña:
Si lees detenidamente, podrás ver mis reglas DKIM, si DMARC pasa (no pasa) y SPF pasa... pero eso es mucho trabajo. Sin embargo, existe una solución mucho mejor: utilizar DKIMValidador. DKIMValidator le proporciona una dirección de correo electrónico que puede agregar a su lista de boletines o enviar a través del correo electrónico de su oficina... y traducen la información del encabezado en un buen informe:
Primero, valida mi encriptación DMARC y firma DKIM para ver si pasa o no (no pasa).
DKIM Information:
DKIM Signature
Message contains this DKIM Signature:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=circupressmail.com;
s=cpmail; t=1643110423;
bh=PTOH6xOB3+wFZnnY1pLaJgtpK9n/IkEAtaO/Xc4ruZs=;
h=Date:To:From:Reply-to:Subject:List-Unsubscribe;
b=HKytLVgsIfXxSHVIVurLQ9taKgs6hAf/s4+H3AjqE/SJpo+tamzS9AQVv3YOq1Nt/
o1mMOkAJN4HTt8JXDxobe6rJCia9bU1o7ygGEBY+dIIzAyURLBLo5RzyM+hI/X1BGc
jeA93dVXA+clBjIuHAM9t9LGxSri7B5ka/vNG3n8=
Signature Information:
v= Version: 1
a= Algorithm: rsa-sha256
c= Method: relaxed/relaxed
d= Domain: circupressmail.com
s= Selector: cpmail
q= Protocol:
bh= PTOH6xOB3+wFZnnY1pLaJgtpK9n/IkEAtaO/Xc4ruZs=
h= Signed Headers: Date:To:From:Reply-to:Subject:List-Unsubscribe
b= Data: HKytLVgsIfXxSHVIVurLQ9taKgs6hAf/s4+H3AjqE/SJpo+tamzS9AQVv3YOq1Nt/
o1mMOkAJN4HTt8JXDxobe6rJCia9bU1o7ygGEBY+dIIzAyURLBLo5RzyM+hI/X1BGc
jeA93dVXA+clBjIuHAM9t9LGxSri7B5ka/vNG3n8=
Public Key DNS Lookup
Building DNS Query for cpmail._domainkey.circupressmail.com
Retrieved this publickey from DNS: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC+D53OskK3EM/9R9TrX0l67Us4wBiErHungTAEu7DEQCz7YlWSDA+zrMGumErsBac70ObfdsCaMspmSco82MZmoXEf9kPmlNiqw99Q6tknblJnY3mpUBxFkEX6l0O8/+1qZSM2d/VJ8nQvCDUNEs/hJEGyta/ps5655ElohkbiawIDAQAB
Validating Signature
result = fail
Details: body has been alteredLuego, busca mi registro SPF para ver si pasa (lo hace):
SPF Information:
Using this information that I obtained from the headers
Helo Address = us1.circupressmail.com
From Address = info@martech.zone
From IP = 74.207.235.122
SPF Record Lookup
Looking up TXT SPF record for martech.zone
Found the following namesevers for martech.zone: ns57.domaincontrol.com ns58.domaincontrol.com
Retrieved this SPF Record: zone updated 20210630 (TTL = 600)
using authoritative server (ns57.domaincontrol.com) directly for SPF Check
Result: pass (Mechanism 'include:circupressmail.com' matched)
Result code: pass
Local Explanation: martech.zone: Sender is authorized to use 'info@martech.zone' in 'mfrom' identity (mechanism 'include:circupressmail.com' matched)
spf_header = Received-SPF: pass (martech.zone: Sender is authorized to use 'info@martech.zone' in 'mfrom' identity (mechanism 'include:circupressmail.com' matched)) receiver=ip-172-31-60-105.ec2.internal; identity=mailfrom; envelope-from="info@martech.zone"; helo=us1.circupressmail.com; client-ip=74.207.235.122Y, por último, me brinda información sobre el mensaje en sí y si el contenido puede marcar algunas herramientas de detección de SPAM, verifica si estoy en listas negras y me dice si se recomienda enviarlo a la carpeta de correo no deseado o no:
SpamAssassin Score: -4.787
Message is NOT marked as spam
Points breakdown:
-5.0 RCVD_IN_DNSWL_HI RBL: Sender listed at https://www.dnswl.org/,
high trust
[74.207.235.122 listed in list.dnswl.org]
0.0 SPF_HELO_NONE SPF: HELO does not publish an SPF Record
0.0 HTML_FONT_LOW_CONTRAST BODY: HTML font color similar or
identical to background
0.0 HTML_MESSAGE BODY: HTML included in message
0.1 DKIM_SIGNED Message has a DKIM or DK signature, not necessarily
valid
0.0 T_KAM_HTML_FONT_INVALID Test for Invalidly Named or Formatted
Colors in HTML
0.1 DKIM_INVALID DKIM or DK signature exists, but is not valid¡Asegúrese de probar cada ESP o servicio de mensajería de terceros desde el que su empresa envía correos electrónicos para asegurarse de que su autenticación de correo electrónico esté configurada correctamente!
Mejores prácticas en la implementación de DMARC
Implementar DMARC correctamente es crucial para la seguridad del correo electrónico y la reputación del remitente. La política que elija depende de sus objetivos de autenticación de correo electrónico y de su disposición para manejar posibles problemas. Aquí hay un desglose de las tres políticas:
- Ninguno (p=ninguno): Esta política se utiliza normalmente para monitorear y recopilar datos sin afectar la entrega de sus correos electrónicos. Permite a los propietarios de dominios ver quién envía correo en nombre de su dominio. Es un buen punto de partida para comprender cómo se procesa su correo electrónico e identificar posibles problemas de autenticación sin arriesgarse a la entrega legítima de correo electrónico. Si bien puede parecer ignorar la política, es una valiosa herramienta de diagnóstico para garantizar que todo esté configurado correctamente antes de pasar a políticas más restrictivas.
- Cuarentena (p=cuarentena): Esta política sugiere a los servidores de correo receptores que los correos electrónicos que no pasen las comprobaciones DMARC deben ser tratados con sospecha. Por lo general, esto significa colocarlos en la carpeta de spam en lugar de rechazarlos por completo. Es un término medio que reduce el riesgo de que se rechacen correos electrónicos legítimos y al mismo tiempo ofrece protección contra correos electrónicos fraudulentos. Es un buen siguiente paso después ninguna una vez que haya confirmado que sus correos electrónicos legítimos pasan las comprobaciones DMARC.
- Rechazar (p=rechazar): Esta es la política más segura, que indica a los servidores receptores que los correos electrónicos que no pasen las comprobaciones DMARC deben ser rechazados. Esta política previene eficazmente los ataques de phishing y garantiza que solo los correos electrónicos autenticados lleguen a los destinatarios. Sin embargo, debe implementarse con cuidado después de realizar pruebas exhaustivas con políticas de “ninguna” y posiblemente de “cuarentena” para evitar rechazar correos electrónicos legítimos.
Mejores prácticas:
- Comience con p = ninguno para recopilar datos y garantizar que sus correos electrónicos legítimos estén debidamente autenticados.
- mover a p = cuarentena para comenzar a proteger su dominio mientras minimiza el riesgo de que se rechacen correos electrónicos legítimos.
- Finalmente, cambie a p = rechazar una vez que esté seguro de que sus prácticas de envío de correo electrónico cumplen totalmente con DMARC, para maximizar la protección contra el fraude por correo electrónico.
Cada paso debe implicar analizar los informes DMARC y ajustar sus prácticas de envío de correo electrónico según sea necesario para garantizar que los correos electrónicos legítimos se autentiquen correctamente.
Creador de registros SPF Validador SPF y DKIM Inspector BIMI
Relacionado: Martech Zone Contenido
