30 Jul 20264 minutes read
SendmarcRotación de claves DKIM: una guía de cumplimiento para la preparación de auditorías
Descripción general de la rotación de claves DKIM:
- Una clave robada sigue firmando mensajes válidos, por lo que las brechas permanecen invisibles hasta que una auditoría de DKIM las descubre.
- No existe un intervalo de rotación fijo, pero los auditores esperan la longitud de clave documentada y las fechas de revisión.
- La firma de terceros queda fuera del control directo, pero sigue dentro del alcance de la auditoría.
- Los selectores huérfanos de adquisiciones siguen siendo autoridades de firma activas hasta que se eliminan.
Una clave privada DKIM robada sigue firmando mensajes que superan las comprobaciones de autenticación. Si la clave nunca se rota tras una brecha, no hay forma de distinguir un mensaje firmado genuino de uno falsificado en adelante. La mayoría de las organizaciones no tienen registro de la antigüedad de las claves ni del historial de rotación, por lo que esta exposición permanece invisible hasta que un auditor la descubre.
La mayoría de los entornos empresariales carecen de un inventario claro de selectores DKIM activos, de la antigüedad de sus claves de firma o de un calendario documentado de rotación de claves DKIM. Eso no es una brecha de configuración. Es una brecha de cumplimiento de DKIM.
Por qué es importante la rotación de claves DKIM
DKIM aplica una firma criptográfica a los mensajes salientes. Los servidores receptores comprueban esa firma con la clave pública publicada en el DNS. Una firma DKIM válida mejora la entrega a la bandeja de entrada, reduce la suplantación y respalda la aplicación de DMARC.
Si la verificación DKIM falla, eso puede provocar que un mensaje no supere DMARC. Si el dominio tiene una política de aplicación, ese fallo hace que el mensaje termine en Spam o Correo no deseado, o que sea rechazado directamente.
Los requisitos de DMARC de Google, Yahoo y Microsoft exigen explícitamente la firma DKIM saliente. Por eso, un DKIM sin gestionar es tanto un riesgo de entregabilidad como un riesgo de seguridad.
DKIM es fácil de configurar una vez y luego olvidar. Las claves se publican. La firma funciona. Nada falla. En silencio, esas claves envejecen y acumulan riesgo con cada trimestre que pasa.
Longitud de clave y frecuencia de rotación de DKIM: qué esperan los auditores
No existe un intervalo único obligatorio para la rotación de claves DKIM, y la periodicidad adecuada depende del volumen de envío, de las plataformas de terceros y del riesgo del dominio. Independientemente del intervalo, lo que los auditores esperan de forma constante es evidencia documentada de la longitud de las claves y de las fechas de revisión.
Las claves RSA-2048 se consideran actualmente aceptables. Las claves RSA-1024 deben rotarse de inmediato. Cualquier clave de 1024 bits que siga activa en un entorno empresarial es un hallazgo pendiente.
Los remitentes externos, incluidas las plataformas de automatización de marketing, las herramientas de RR. HH. y los sistemas transaccionales, suelen gestionar su propia firma DKIM. Sus prácticas de rotación quedan fuera del control directo, pero siguen dentro del alcance de la auditoría de DKIM, ya que la clave de firma sigue autenticando mensajes en nombre de la empresa.
Rotación de claves DKIM multidominio y exposición en auditorías
La infraestructura de correo electrónico empresarial rara vez se limita a un solo dominio y servidor. Lo habitual son múltiples dominios en distintas regiones y unidades de negocio, subdominios para flujos de correo específicos y plataformas de terceros con claves DKIM independientes, cuya propiedad suele estar distribuida entre seguridad, infraestructura y marketing.
Esa distribución crea un riesgo de cumplimiento de DKIM específico tras fusiones y adquisiciones. Los dominios adquiridos suelen conservar selectores heredados con claves que nunca se han rotado, firmados por plataformas que quizá ya no estén en uso. Esos selectores siguen siendo válidos en el DNS hasta que alguien los elimina explícitamente, actuando como autoridades de firma huérfanas del dominio.
Un registro DNS que identifique cada selector activo y lo compare con las plataformas de envío conocidas y autorizadas es un punto de partida práctico para reducir ese riesgo.
Lista de verificación de preparación para auditorías de DKIM
Utilice esta lista de verificación para evaluar el cumplimiento actual de DKIM y la preparación para auditorías.
Inventario de claves:
- Enumere todos los dominios y subdominios
- Enumere todos los selectores DKIM publicados
- Relacione cada selector con su plataforma de envío autorizante
- Marque los selectores que no se puedan rastrear hasta un remitente activo y autorizado
Registro de auditoría:
- Documente cada evento de rotación: fecha, selector, dominio, responsable y clave
- Guarde los registros de rotación en un lugar accesible para los equipos de auditoría y cumplimiento
- Incluya la revisión de claves DKIM en el ciclo periódico de revisión de controles criptográficos
Fallos comunes que generan exposición en auditorías
Más allá de las claves sin rotar, varios patrones generan riesgo de cumplimiento:
- Selectores huérfanos de proveedores dados de baja: Los registros DNS rara vez se limpian cuando se cambia una plataforma de envío, por lo que los selectores antiguos se acumulan y amplían la superficie aparente de remitentes autorizados.
- Adiciones de DKIM no documentadas por integraciones de fusiones y adquisiciones: Las entidades adquiridas suelen traer infraestructura no revelada. Incorporar sus registros DKIM a su DNS sin revisarlos implica heredar su riesgo.
- Claves gestionadas por la plataforma sin condiciones contractuales de rotación: Muchas plataformas SaaS gestionan la firma DKIM en nombre de sus clientes. Sin condiciones contractuales explícitas de rotación, esas claves podrían no cambiar nunca.
- Falta de firma DKIM en dominios secundarios: Los dominios que rara vez envían correo también son blanco de suplantación. Los atacantes no los pasan por alto.
Los fallos de autenticación rara vez aparecen como un evento aislado. Se acumulan. Los problemas de entregabilidad, los fallos dealineación DMARC y los hallazgos de cumplimiento de DKIM tienden a agruparse en torno a las mismas claves sin rotar y sin documentar.
Cómo puede ayudar Sendmarc
Reducir el riesgo de auditoría de DKIM es difícil de hacer manualmente. Los equipos de seguridad y TI, ya sobrecargados, cargan con un trabajo intenso, y llevar el control manual de la antigüedad de las claves, el inventario de selectores y el historial de rotación en decenas de dominios y plataformas de terceros añade una investigación manual continua.
Sendmarc ofrece a los equipos de seguridad, riesgo y cumplimiento visibilidad unificada sobre las configuraciones de DNS, SPF, DKIM y DMARC en todos los dominios y plataformas de envío, señalando automáticamente los fallos de verificación. Esa visibilidad respalda el cumplimiento de DKIM y ofrece los reportes creíbles que esperan los comités de auditoría y riesgo.
Descubra cómo la solución de gestión de DKIM de Sendmarc reúne cada dominio en una vista continuamente monitoreada, de modo que los fallos de verificación siempre estén visibles y listos para presentarse a un comité de auditoría o riesgo cuando se solicite.
