Cómo funcionan las políticas DMARC – p=none, p=quarantine, p=reject

¿Qué hace una política DMARC?

Contar con una política DMARC vigente demuestra que los correos electrónicos de su dominio están protegidos por los protocolos de autenticación de correo electrónico Sender Policy Framework (SPF) y DomainKeys Identified Mail (DKIM). SPF verifica que los correos electrónicos provengan de fuentes autorizadas, mientras que DKIM comprueba la integridad de un correo electrónico, garantizando que los encabezados y el cuerpo no hayan sido alterados durante el tránsito.

Almacenada como un registro DMARC en tu Sistema de Nombres de Dominio (DNS), tu política DMARC te permite, como propietario del dominio o Proveedor de Servicios Gestionados (MSP), indicar a los servidores receptores cómo gestionar los correos electrónicos que no superan la autenticación SPF y DKIM. Las opciones para gestionar estos correos electrónicos incluyen aceptarlos (en cuyo caso no se toma ninguna acción), ponerlos en cuarentena o rechazarlos directamente.

¿Qué tipos de políticas DMARC existen?

Hay tres políticas DMARC para elegir:

p=none – Solo supervisión o monitoreo

La política de supervisión te permite vigilar el tráfico de correo electrónico y obtener reportes sobre las fuentes de correo electrónico, brindando visibilidad de cómo se gestionan los correos electrónicos sin tomar ninguna medida sobre los que no superan la autenticación. Esta política se suele utilizar al configurar DMARC para asegurarse de que está configurada correctamente antes de pasar a una política más estricta. No afectará tu capacidad de entrega de correo electrónico.

p=quarantine – Pone en cuarentena los correos electrónicos sospechosos

Además de enviar reportes, una política de cuarentena indica a los servidores receptores que pongan en cuarentena los correos electrónicos que no superan las comprobaciones DMARC, moviéndolos a la carpeta de Spam o Basura en lugar de a la bandeja de entrada. Esto significa que, aunque estos correos electrónicos se siguen entregando, quedan en cuarentena para una investigación más profunda antes de llegar a la bandeja de entrada principal.

p=reject – Rechaza los correos electrónicos que no superan la autenticación

La política de rechazo es la política DMARC más estricta. Además de enviar reportes, garantiza una protección completa contra comunicaciones fraudulentas para los destinatarios internos y externos de los correos electrónicos de su empresa. Una política de rechazo indica a los servidores receptores que rechacen directamente cualquier correo electrónico que no supere las comprobaciones DMARC. Esto significa que esos correos nunca llegan a la bandeja de entrada.

El poder de una política DMARC sólida

Más del 94% de las empresas reportaron incidentes de seguridad de correo electrónico en 2023, y las ciberamenazas basadas en correo electrónico siguen aumentando en número y sofisticación. Estas tendencias dejan claro que tu organización debe adoptar las mejores prácticas de seguridad, como DMARC –con una política sólida–, para salvaguardar a las partes interesadas y garantizar la continuidad del negocio.

Resulta preocupante que, a pesar de que los riesgos de no contar con protección son evidentes, menos de 6 millones de registros DMARC* existían a nivel mundial en 2022, y solo el 19.6%* de los dominios de correo electrónico a nivel mundial con políticas DMARC publicadas están totalmente protegidos con p=reject.

Sin una política de cuarentena o rechazo, DMARC no es protector. No puede indicarles a los servidores receptores qué hacer con los correos electrónicos no autenticados. Establecer una política DMARC sólida reduce el riesgo de que el dominio de su empresa se use para actividades fraudulentas y protege a su organización contra los daños de un ciberataque exitoso.

Contar con una política DMARC estricta también les ahorrará a tus empleados el tiempo y la preocupación de tener que identificar ellos mismos los correos sospechosos. Una prueba de phishing realizada en organizaciones de todo el mundo en octubre de 2023 reveló que alrededor del 10% de los empleados hizo clic en enlaces sospechosos, y de quienes hicieron clic, más del 62% enviaron sus contraseñas. Aunque esta tasa de clics pueda parecer baja, basta un solo clic para causar un daño empresarial posiblemente irreparable.

Como hemos destacado anteriormente, una política p=none o de supervisión no es suficiente para proteger a su empresa de los ciberataques basados en el correo electrónico. Es como dejar el peaje abierto para que todo el tráfico de correo electrónico –incluido el malicioso– pase como de costumbre mientras observas desde el borde de la carretera.

Sigue leyendo para descubrir por qué p=reject debería ser el objetivo final de tu implementación de DMARC.

*Estas estadísticas provienen de un conjunto de datos específico que examina únicamente los dominios que utilizan DMARC y no cubre todos los dominios de correo electrónico a nivel mundial. Se cree que las tendencias de este conjunto de datos representan las tendencias de todo internet, y por lo tanto, ofrecen información valiosa.

Por qué una política DMARC de rechazo siempre debería ser el objetivo final

Comenzar con una política none para monitorear tu tráfico de correo electrónico es un excelente primer paso, y pasar a una política de cuarentena ayuda a reducir los riesgos al marcar los correos electrónicos sospechosos, lo que puede prevenir ciberataques exitosos. Pero para lograr la mayor defensa contra el fraude por correo electrónico, las organizaciones deberían aspirar, en última instancia, a implementar una política de rechazo.

Algunos pueden dudar en implementar una política de rechazo porque creen que afectará negativamente su capacidad de entrega de correo electrónico, pero este no será el caso si DMARC está configurado correctamente.

Pasar directamente a una política de rechazo no es el mejor primer movimiento, y no deberías adoptar una política de rechazo como una reacción instintiva a un ciberataque. Una implementación de p=reject debe seguir un proceso gradual para ser eficaz.

Sin embargo, hay luz al final del túnel, porque al elegir el socio DMARC adecuado, puede llevar el dominio de su empresa a una política de rechazo de la forma más rápida y sencilla posible.

Adoptar una política DMARC de p=reject ofrece varios beneficios empresariales clave:

Cómo funciona la configuración de una política DMARC

Algunas empresas optan por una configuración e implementación manual de DMARC porque creen que les ahorrará tiempo y dinero, cuando en realidad ocurre todo lo contrario.

Configurar manualmente tu propia política DMARC es un asunto complicado y arriesgado. El proceso de configuración es complejo, consume muchos recursos, requiere conocimientos técnicos y, si DMARC está mal configurado, existe el riesgo de interrupciones en el correo electrónico. Por ejemplo, una configuración incorrecta y una identificación errónea de las fuentes de envío podrían provocar el bloqueo involuntario de correos legítimos o la entrega de correos fraudulentos.

El tiempo para la aplicación de la política con una configuración e implementación manual también es prolongado, y suele tardar más de un año en completarse. Con el creciente número de recomendaciones y normas regulatorias, empresariales y gubernamentales para la implementación de DMARC, ¿puede su empresa permitirse el costo y el tiempo que conlleva una implementación manual?

También es importante tener en cuenta que DMARC requiere supervisión y mantenimiento continuos para adaptarse a los cambios en las fuentes de correo electrónico, abordar las amenazas cambiantes para su empresa y garantizar que la autenticación del correo electrónico siga siendo precisa y eficaz.

Por estas razones, es posible que quieras recurrir a un experto en DMARC para tu implementación y gestión. Esta opción es más eficiente en términos de tiempo, recursos y costo, además de garantizar que tu implementación sea rápida, exitosa y sin errores.

La implementación de DMARC consta de tres pasos:

Paso 1: p=none

Comenzar con una política p=none le permite monitorear quién envía correos electrónicos desde su dominio, dándote visibilidad de las amenazas potenciales de las que debes protegerle, así como de las fuentes de correo electrónico legítimas que no deberían rechazarse durante la autenticación.

Paso 2: p=quarantine

Una vez configuradas tus fuentes legítimas de correo electrónico, es momento de establecer tu política en p=quarantine. Como se mencionó anteriormente, con una política de cuarentena, los correos electrónicos que no superan las comprobaciones SPF y DKIM se colocan en una carpeta de cuarentena para una inspección más detallada antes de ser entregados a una bandeja de entrada.

Esta etapa consiste en asegurarse de que cada fuente, servicio o plataforma de envío legítimo esté correctamente configurado. También es importante aprovechar este momento para informar a tus partes interesadas sobre los cambios planificados de p=reject, con el fin de garantizar que los sistemas de correo electrónico cumplan con las normas y minimizar las interrupciones en la comunicación.

Paso 3: p=reject

Ahora que le has asegurado de que todas las fuentes legítimas están correctamente configuradas, puede establecer su política DMARC en rechazo. Con esta política aplicada, cualquier correo electrónico que no se ajuste a sus políticas SPF y DKIM será rechazado por el servidor receptor.

Implementación de DMARC rápida y sencilla con Sendmarc

Sendmarc ofrece la mejor solución DMARC del mundo, combinando software, herramientas e implementación líderes, además de formación práctica y procesos de habilitación. Nuestro compromiso es llevar su dominio a p=reject en un máximo de 90 días*.

Te ayudamos a proteger su empresa contra el phishing, la suplantación de dominio (spoofing) y la suplantación de identidad, con un control de DMARC, DKIM y SPF automatizado y potente. Nuestra plataforma DMARC le permite gestionar cualquier cantidad de dominios y protegerlos contra el uso indebido y el envío de correos electrónicos fraudulentos.