06 Nov 20266 minutes read
Kiara SaloojeeEntusiasta de DMARCQué significan para su dominio las directrices para remitentes de Spamhaus
Resumen de las directrices para remitentes de Spamhaus:
- Alinee DKIM con su dominio “From” en cada servicio de envío
- Lleve DMARC más allá de p=none hasta una política de aplicación
- Mantenga los registros SPF dentro del límite de 10 búsquedas DNS
- Compruebe que cada IP de envío cumpla el requisito de HELO y DNS inverso
- Espere que los ESP verifiquen su autenticación antes de que pueda enviar
Que un servidor de correo acepte un mensaje depende en parte de la reputación del remitente. Para evaluar esa reputación, los servidores receptores pueden recurrir a fuentes externas como Spamhaus, un proveedor de listas de bloqueo. Si su IP de envío o su dominio aparece en la lista de bloqueo de Spamhaus, cualquier receptor que use esos datos puede filtrar o rechazar su correo. Una sola inclusión en una lista de bloqueo puede afectar la entrega a todos los receptores que usan los datos de Spamhaus, no solo a un proveedor de buzones.
Las directrices para remitentes de Spamhaus establecen lo que los remitentes deben hacer para evitar figurar en una lista de bloqueo. Abarcan la infraestructura, la autenticación, la higiene de las listas y las prácticas de envío. Este artículo cubre los requisitos de autenticación, incluida la alineación DKIM. También explica qué significan para las organizaciones que envían a través de proveedores de servicios de correo electrónico (ESP) y el nuevo requisito de infraestructura que Spamhaus empezó a implementar en noviembre.
Por qué importan las directrices para remitentes de Spamhaus
Google, Yahoo y Microsoft establecen reglas para el correo que se entrega a sus propios usuarios. Spamhaus funciona de otra manera. Sus datos de reputación influyen en las decisiones de filtrado de todos los receptores que los usan. Figurar en una lista de bloqueo de Spamhaus tiene un alcance mayor que un bloqueo en un solo proveedor.
Las directrices para remitentes de Spamhaus indican que las IP que no cumplen los requisitos de infraestructura pueden figurar en las zonas Email Spam IPs (CSS) o compromised IPs (XBL).
Las brechas de autenticación también cuentan en contra de un remitente. Spamhaus describe la autenticación como una de las señales que conforman la reputación. Esas brechas hacen más probable figurar en una lista cuando las demás señales son débiles.
Spamhaus afirma que no acepta solicitudes para explicar atributos ni para restablecer la reputación. La prevención es el camino práctico, y empieza con la configuración que Spamhaus establece en sus directrices.
Qué dicen las directrices para remitentes de Spamhaus sobre SPF, DKIM y DMARC
La sección de autenticación de las directrices para remitentes de Spamhaus establece requisitos y recomendaciones para cada protocolo.
La alineación DKIM es un requisito, no una recomendación
Las directrices para remitentes de Spamhaus exigen que el dominio d= de la firma DKIM coincida con el dominio de la dirección “From” del encabezado. Esto va más allá de las reglas para remitentes masivos de los proveedores de buzones. Microsoft, por ejemplo, acepta la alineación DMARC mediante SPF o DKIM.
Cuando una plataforma de terceros firma su correo con su propio dominio, el mensaje pasa DKIM pero no pasa la alineación DKIM. Según las directrices para remitentes de Spamhaus, ese correo ya no cumple el estándar. Todos los servicios que envían en su nombre deben firmar con su dominio.
Spamhaus también fija una longitud mínima de clave DKIM de 1024 bits y recomienda 2048 bits. Además, recomienda rotar las claves al menos una vez al año, o de inmediato si una clave puede estar comprometida.
El objetivo es aplicar la política DMARC
Spamhaus exige un registro DMARC con una política definida para cada dominio de envío. Empezar en p=none es aceptable. Spamhaus recomienda una política de aplicación y desaconseja permanecer en p=none de forma permanente. También recomienda agregar desde el inicio una dirección para reportes agregados (rua) para auditar el correo enviado desde su dominio.
El límite de 10 búsquedas DNS de SPF
Las directrices para remitentes de Spamhaus exigen que los registros SPF se mantengan dentro del límite de 10 búsquedas DNS. Superar el límite devuelve un permerror. Un permerror no es un resultado satisfactorio, por lo que SPF no puede autenticar el correo ni cumplir la alineación DMARC. Cuando SPF falla de esta manera, la alineación DKIM es la única vía que queda para pasar DMARC.
Subdominios, no dominios alternativos
Las directrices para remitentes de Spamhaus indican a los remitentes que no usen dominios alternativos (cousin domains) para flujos de correo o regiones adicionales de la misma marca. Use subdominios en su lugar. También recomiendan un dominio d= distinto para cada flujo de correo, por ejemplo subdominios separados para el correo transaccional y el de marketing, de modo que cada uno construya su propia reputación.
El requisito de HELO y DNS inverso en las directrices para remitentes de Spamhaus
Cuando un servidor de correo se conecta a otro para entregar un mensaje, anuncia un nombre de host en su comando HELO (o EHLO). El DNS inverso funciona en sentido contrario. Un registro de puntero (PTR) asocia la IP de envío con un nombre de host.
A partir de noviembre de 2026, Spamhaus está implementando de forma gradual un requisito según el cual cada IP de envío debe tener un nombre de host HELO válido, un registro de DNS inverso y un registro A coincidente. El nombre de host del PTR debe resolverse de vuelta a la misma IP de envío, lo que se conoce como DNS inverso confirmado hacia adelante (forward-confirmed reverse DNS). El nombre de host HELO también debe resolverse a la IP de envío y mantenerse constante entre conexiones.
El requisito refleja uno que Google ya tiene: cada IP pública necesita un registro PTR, y la IP de envío debe coincidir con la IP del nombre de host de ese registro. La diferencia es que Spamhaus aplica el requisito desde el lado de la reputación, donde una brecha puede contribuir a figurar en una lista de bloqueo.
Este requisito corresponde a quien opera la infraestructura de envío. Para la mayoría de las empresas, es el ESP o el equipo que administra los servidores de correo locales.
Qué piden las directrices para remitentes de Spamhaus a los ESP
Spamhaus publica directrices separadas para los ESP y los grandes remitentes. Indica que los ESP y los proveedores de infraestructura compartida son responsables del correo enviado a través de su infraestructura. Alojar a remitentes abusivos daña la reputación de los dominios y la infraestructura compartidos.
Los clientes que comparten un grupo de IP o un dominio pueden afectar la reputación de todos los demás que envían desde él. Si el envío de un cliente hace que una IP compartida figure en una lista de bloqueo, afecta a todos los demás clientes que envían desde esa IP.
Las directrices para ESP indican a los proveedores que:
- Se aseguren de que cada cliente tenga SPF, DKIM y DMARC configurados antes de permitirle enviar
- Firmen el correo saliente con el dominio propio del cliente para lograr la alineación DKIM
- Den a cada cliente un subdominio dedicado para usarlo como dominio “From” y como dominio de firma DKIM
- Apliquen umbrales más estrictos a los clientes que envían desde grupos de IP compartidas o dominios compartidos
Si su empresa envía a través de un ESP, espere que estos requisitos, incluida la alineación DKIM, aparezcan en las verificaciones de incorporación y en las revisiones de cuenta. Un solo cliente puede hacer que la infraestructura compartida figure en una lista de bloqueo, por lo que los ESP tienen un motivo directo para exigir a todos los clientes el mismo estándar.
Cómo cumplir las directrices para remitentes de Spamhaus en todos los remitentes
Para la mayoría de las empresas, el desafío no es un único registro DNS. El desafío son decenas de dominios, varios departamentos y herramientas SaaS que envían correo electrónico en nombre de la organización.
Los remitentes que firman con su propio dominio en lugar del suyo rompen la alineación DKIM. Cada nueva herramienta también agrega búsquedas SPF, lo que puede llevar el registro por encima del límite de 10 búsquedas DNS. Hasta que todos los remitentes legítimos pasen DMARC, el dominio no puede avanzar con seguridad más allá de p=none. Brechas de autenticación como estas son señales de reputación que pueden contribuir a figurar en una lista de bloqueo.
Sendmarc ofrece a los equipos de seguridad y de TI visibilidad y control en todos los dominios y herramientas de envío. Puede ver qué remitentes pasan la alineación DKIM y cuáles no, incluidas las herramientas SaaS no aprobadas que los departamentos empiezan a usar antes de configurar la autenticación. Con esa visibilidad, puede corregir los remitentes sin autenticar o mal configurados antes de que afecten su reputación.
SPF Flattening mantiene los registros SPF dentro del límite de 10 búsquedas DNS a medida que crece su lista de remitentes. La gestión de DMARC (DMARC Management) lleva los dominios de p=none a p=reject por etapas, para que el correo de facturación, las notificaciones y el de marketing sigan llegando a las bandejas de entrada durante la transición.
La autenticación no es un proyecto de una sola vez. Las nuevas herramientas, regiones y adquisiciones cambian su entorno de envío. Las directrices para remitentes de Spamhaus esperan que su configuración se mantenga al día. El monitoreo y la optimización continuos la mantienen actualizada sin añadir trabajo manual a los equipos de seguridad y de TI con recursos limitados.
Pruebe su dominio para ver cómo se compara su configuración de SPF, DKIM y DMARC con las directrices para remitentes de Spamhaus.
