18 May 20268 minutes read
Kiara SaloojeeDMARC EnthusiastGestión de DKIM en las filiales: guía de gobernanza para empresas
Resumen de la gestión de DKIM en las filiales:
- La gestión de DKIM a gran escala es tanto un desafío técnico como de gobernanza
- La configuración se desvía con el tiempo sin una supervisión centralizada en todas las filiales
- Las lagunas en DKIM afectan directamente a la aplicación de DMARC, la capacidad de entrega y el cumplimiento normativo
- Los fallos más habituales son la falta de registros, la falta de coincidencia de selectores, las lagunas en la rotación de claves y los remitentes externos sin configurar
- Las auditorías continuas, los calendarios de rotación y el seguimiento de los reportes de DMARC ayudan a mantener estable la autenticación
Gestión de DKIM en los dominios de las filiales es tanto un desafío de gobernanza como técnico. Este artículo explica cómo estandarizar y mantener DKIM en toda tu cartera de dominios.
Sendmarc colabora con tu equipo para configurar y gestionar DKIM a gran escala. Descubre cómo.
Por qué resulta más difícil gestionar DKIM a gran escala
En un entorno de un solo dominio, la configuración de DKIM es sencilla. Generas un par de claves, publicas la clave pública en el DNS y configuras tu plataforma de correo para que firme los mensajes salientes. En un grupo de dominios de filiales, ese mismo proceso se repite para cada sistema de envío en uso.
Cada dominio de una filial requiere sus propios registros DNS de DKIM. Las filiales suelen utilizar plataformas de correo diferentes –herramientas de marketing, CRM, sistemas de RR. HH.– y cada una requiere un par de claves y un selector independientes. Las entidades adquiridas suelen tener configuraciones de DKIM incoherentes o inexistentes, de las que te vuelves responsable en el momento en que se cierra la adquisición.
Sin una supervisión centralizada, las lagunas en la firma pasan desapercibidas hasta que surgen fallos de DMARC. Y dado que los cambios en el DNS suelen requerir coordinación entre el departamento central de TI y los equipos de las filiales, la corrección avanza con lentitud.
El resultado es una configuración que se va desviando con el tiempo. Ampliar la gestión de DKIM implica acertar tanto con la configuración técnica como con los procesos operativos.
Los riesgos de una configuración de DKIM incoherente
Las lagunas en la configuración de DKIM tienen consecuencias directas para la seguridad, la capacidad de entrega y el cumplimiento normativo. Cada dominio de una filial representa un posible punto de fallo.
Los riesgos más comunes son:
Impacto en la aplicación de DMARC
Los fallos de alineación de DKIM bloquean la aplicación de DMARC. Un solo dominio de una filial con un registro DKIM defectuoso puede frenar el avance de la política.
Riesgo de entrega
El correo de las filiales sin autenticar aumenta la probabilidad de que los mensajes de facturación, notificaciones y marketing se filtren como Spam o correo no deseado, o se rechacen por completo.
Exposición normativa
Las normas PCI DSS, RGPD, POPIA e ISO exigen a las organizaciones demostrar el control sobre los sistemas que acceden a los datos o los procesan. Una configuración de DKIM incoherente dificulta esa evidencia.
Puntos de fallo habituales de DKIM en entornos de filiales
La mayoría de los fallos de DKIM en entornos distribuidos se pueden clasificar en cuatro categorías. Comprender la causa raíz agiliza el diagnóstico y ayuda a evitar que el mismo problema se repita.
Los cuatro puntos de fallo más frecuentes son:
Sin registro DKIM
El dominio de la filial no tiene ningún registro TXT en el DNS. Esto es habitual en entidades adquiridas donde nunca se configuró la autenticación del correo electrónico, y en dominios aparcados que se pasan por alto durante la incorporación.
Discrepancia en el selector
El selector al que se hace referencia en la firma del correo no coincide con el registro publicado en el DNS. Esto suele ocurrir cuando hay retrasos en la propagación del DNS o la configuración del DNS está incompleta.
Laguna en la rotación de claves
La clave privada de DKIM se actualiza, pero el registro DNS sigue conteniendo la clave pública antigua. Los correos firmados con la nueva clave no superan la validación hasta que se actualice el DNS. Coordinar ambos cambios al mismo tiempo evita este problema.
Remitentes externos mal configurados
Una plataforma de marketing o transaccional envía correos en nombre del dominio de la filial, pero nunca se configuró para firmar con DKIM. Esta es una de las causas más comunes de fallos de DKIM en empresas que han adoptado herramientas SaaS sin supervisión centralizada de TI.
Cómo gestionar DKIM en las filiales
Para gestionar DKIM en un entorno de grupo, necesitas un proceso documentado y repetible. Sigue estos pasos en todos los dominios de las filiales:
- Completa el inventario de dominios y remitentes. Documenta cada dominio de las filiales y cada plataforma de correo electrónico en uso en esos dominios. Esta es la base de todo el trabajo de configuración y gobernanza. Sin ella, las lagunas son inevitables.
- Genera y publica pares de claves DKIM por remitente. Para cada plataforma de envío en cada dominio de una filial, generar un par de claves DKIM. Publica la clave pública como un registro TXT en el DNS con un selector único. Algunas plataformas gestionan la generación de claves internamente; otras requieren que proporciones la clave. Confirma qué enfoque aplica antes de empezar.
- Configura cada remitente para que firme los mensajes salientes. Activa la firma DKIM en cada plataforma utilizando la clave privada y el selector correspondientes.
- Comprueba la configuración. Una vez configurado, utiliza una herramienta de validación de DKIM para confirmar que el registro es correcto. Envía un mensaje de prueba para verificar que DKIM se valida correctamente.
- Establece un calendario de rotación de claves. Define los intervalos de rotación para cada plataforma. La mayoría de las empresas rota cada seis meses. Coordina las actualizaciones del DNS y los cambios de claves de las plataformas para evitar lagunas de firma durante la transición.
- Asigna la responsabilidad por dominio o entidad. Asegúrate de que cada filial tenga un responsable designado a cargo de la configuración de DKIM y los cambios de DNS.
Gobernanza continua de DKIM
La configuración inicial no es suficiente. Los ajustes de DKIM se deterioran con el tiempo a medida que se añaden plataformas y las claves caducan. La gobernanza es lo que mantiene estable el entorno de autenticación.
Para gestionar eficazmente DKIM, las organizaciones deben:
- Audita las adquisiciones de forma inmediata. Cada nueva adquisición de una filial debe dar lugar a una auditoría de DKIM como parte del proceso de incorporación. Las configuraciones heredadas suelen estar incompletas o mal configuradas.
- Sigue un calendario de rotación documentado. La rotación de claves debe seguir un calendario definido, con un responsable designado para cada dominio. Los entornos de mayor riesgo pueden requerir una rotación de claves más frecuente.
- Utiliza los reportes agregados de DMARC para supervisar DKIM. Los reportes RUA ofrecen visibilidad continua sobre los nuevos fallos de DKIM a medida que cambia el entorno de envío, y deben revisarse con regularidad, no solo durante la respuesta a incidentes.
- Mantén un registro compartido de todos los selectores activos. Los administradores de DNS, TI y correo electrónico deben trabajar a partir de un registro compartido que detalle todos los selectores y claves activos.
Cómo te ayuda Sendmarc a gestionar DKIM en tus filiales
La gestión de DKIM a nivel de las filiales es una pieza más de un reto más amplio de autenticación y gobernanza de dominios. La Plataforma de gestión DMARC de Sendmarc supervisa el estado de alineación de DKIM en todos los dominios de las filiales, detecta remitentes no autorizados y lagunas de autenticación, y orienta el avance de las políticas.
Cuando los departamentos adoptan nuevas plataformas o realizan cambios en el DNS sin supervisión centralizada, Sendmarc detecta los fallos resultantes antes de que se conviertan en incidentes. Además, entrega los informes que los CISO y los responsables de cumplimiento normativo necesitan para mantener una visión clara y fiable del estado de la autenticación.
Si gestionas DKIM en varios dominios, Sendmarc te ofrece la visibilidad y el control necesarios para hacerlo correctamente.
