Autenticación del correo tras una adquisición: guía paso a paso

Una adquisición añade dominios, plataformas de correo y servicios de envío que su equipo de seguridad no configuró y cuya existencia puede desconocer. Cualquiera de ellos puede usarse para enviar correo que parece proceder de su organización combinada. La autenticación del correo tras una adquisición determina si ese correo se bloquea o llega a las bandejas de entrada.

Las políticas de autenticación del correo de la empresa adquirida rara vez coinciden con las suyas. Algunos dominios no tienen registro DMARC, otros están en p=none y otros tienen registros SPF que fallan cuando se combinan los servicios de envío de ambas empresas. Corregirlo implica aplicar las mismas políticas de autenticación del correo a todos los dominios sin bloquear el correo legítimo de ninguna de las dos organizaciones.

Esta guía abarca cinco pasos: inventario, consolidación, alineación, aplicación por etapas y monitorización continua.

Descubra cómo la gestión de DMARC de Sendmarc ofrece a su equipo de seguridad una vista única de cada dominio y remitente adquiridos, para que vea qué políticas de autenticación del correo deben cambiar antes de tocar un solo registro DNS.

El riesgo de una autenticación del correo débil tras una adquisición

Las empresas adquiridas suelen aportar dominios heredados, regionales y aparcados. También aportan servicios de envío que un antiguo equipo de TI aprobó sin documentar, y herramientas que los equipos de marketing, RR. HH. y finanzas configuraron por su cuenta. Tras la operación, su equipo es responsable de todos ellos, incluidos los que no sabe que existen.

Los atacantes aprovechan esta complejidad. Sin una política DMARC aplicada, nada indica a los servidores receptores que rechacen el correo no autenticado enviado desde un dominio adquirido. Quienes lo reciben son los clientes, proveedores y socios de la empresa adquirida, que confían en la marca que aparece en la línea "From". El filtrado del correo entrante no ayuda aquí, porque las personas en riesgo están fuera de su organización.

La aplicación total no impide que los atacantes lo intenten. Bloquea que el correo no autenticado llegue a las bandejas de entrada.

Cómo proteger la autenticación del correo tras una adquisición

Paso 1: inventariar primero los dominios y los remitentes

Elabore una lista completa antes de cambiar ninguna política. Un solo remitente omitido es la forma en que el correo legítimo acaba bloqueado más adelante.

Documente cuatro cosas del entorno de correo de la empresa adquirida:

Para los dominios sin registro DMARC, publique uno en p=none con una dirección de reportes. Los reportes agregados de DMARC de los servidores receptores muestran entonces qué fuentes envían correo como ese dominio, incluidas las que nadie había enumerado.

Paso 2: estandarizar la autenticación del correo

Fije una línea base para todos los dominios de la empresa combinada: un registro DMARC, una política objetivo y una dirección de reportes. Después corrija cualquier registro que impida que un dominio cumpla esa línea base.

SPF es lo que exige más cuidado. Un dominio solo puede publicar 1 registro SPF, y publicar 2 hace que SPF falle. SPF también permite un máximo de 10 consultas DNS. Añadir los remitentes de ambas organizaciones a un único registro puede superar ese límite, lo que hace que SPF falle en todos los mensajes.

DKIM requiere menos cambios. Cada servicio de envío firma con su propia clave bajo un selector. Mantenga los selectores de la empresa adquirida hasta confirmar que ningún servicio los sigue usando. Antes de sustituir una clave, publique el nuevo selector.

Paso 3: corregir la alineación de SPF y DKIM tras una adquisición

DMARC solo se supera cuando SPF o DKIM se superan y el dominio autenticado se alinea con el dominio de la dirección "From" visible. Un mensaje puede superar SPF y DKIM y aun así fallar DMARC.

Los servicios de terceros suelen enviar con su propio dominio de return-path y firmar con su propio dominio DKIM, por lo que ninguno se alinea con el dominio "From".

Paso 4: pasar a la aplicación de DMARC por etapas

Lleve cada dominio de p=none a p=quarantine y después a p=reject, pero solo cuando los reportes agregados muestren que todos los remitentes legítimos se superan con alineación. Empiece por los dominios que no envían correo, porque no hay correo legítimo que alterar. En esos dominios, publique p=reject y un registro SPF que no autorice a ningún remitente.

Pase después a los dominios que envían, empezando por los de menor volumen. Compruebe que los correos de facturación, de restablecimiento de contraseña y de notificación a clientes están autenticados antes de endurecer la política de los dominios que envían. Trabaje dominio por dominio para que un remitente mal configurado no retrase al resto.

Paso 5: seguir monitorizando después de la aplicación

La autenticación del correo tras una adquisición no termina cuando el último dominio llega a p=reject. Los equipos migran plataformas y añaden herramientas SaaS, y cada cambio puede romper la alineación de SPF y DKIM. Revise los reportes agregados de DMARC de forma continua y exija que cada nuevo servicio de envío esté autenticado antes de entrar en producción.

Cómo puede ayudar Sendmarc

Las adquisiciones añaden carga de trabajo a los equipos de seguridad y TI que ya van justos. Pocos equipos tienen capacidad para inventariar remitentes, corregir la alineación de SPF y DKIM y gestionar la aplicación por etapas en los dominios heredados mientras continúa el trabajo de integración.

Sendmarc se encarga de ese trabajo y aborda los problemas concretos que generan las adquisiciones:

Descubra cómo Sendmarc lleva los dominios adquiridos a p=reject con apoyo práctico en la implementación y monitorización continua, para que su equipo pueda terminar la integración sin añadir un proyecto de autenticación del correo a su carga de trabajo.