Despliegue de SPF empresarial: una guía por etapas para dominios con múltiples remitentes

Comienza cada despliegue de SPF empresarial con un inventario completo de remitentes

Identifica todas las fuentes que envían mensajes en tu nombre antes de que comience tu despliegue de SPF empresarial. Consulta los reportes agregados de DMARC si existen, o revisa los registros del agente de transferencia de correo. Crea un registro de remitentes que enumere cada fuente, su responsable y su estado.

Un inventario incompleto es la principal causa de fallos en los registros SPF a gran escala, y es la razón por la que la mayoría de los proyectos de aplicación de SPF se estancan.

Decide la arquitectura DNS

Una vez completado su inventario de remitentes, la siguiente decisión en su despliegue de SPF empresarial es la estructura: si añades un registro SPF como un único registro plano para su dominio principal, lo delegas entre subdominios o utilizas un híbrido de ambos.

• Registro plano: Todos los mecanismos residen en un único registro TXT en el dominio principal. Es la forma más sencilla de añadir un registro SPF para un número reducido de remitentes, pero consume consultas DNS rápidamente a medida que se añaden más mecanismos include.
• Delegación por subdominios: Los departamentos envían a través de subdominios dedicados (mail.example.com, notify.example.com), cada uno con su propio registro SPF y su propio despliegue de SPF por etapas. El registro de su dominio principal se mantiene ligero.
• Enfoque híbrido: Los remitentes principales permanecen en el dominio principal. Los remitentes de gran volumen o de terceros se trasladan a subdominios. Este enfoque escala mejor cuando las fuentes de envío están repartidas entre varias unidades de negocio o regiones.

Escalona tu despliegue de SPF empresarial

Este es el paso en el que fallan la mayoría de los despliegues de SPF empresariales: pasan directamente a -all en lugar de escalonar el despliegue. Nunca publiques -all sin publicar antes el registro con ~all.

1. Softfail. Publica el registro con ~all como calificador. Los mensajes de fuentes no autorizadas reciben un resultado de softfail. Los servidores receptores los aceptan, pero pueden dirigirlos a Spam.
2. Supervisa. Con SPF en ~all, revisa los reportes agregados de DMARC a diario durante dos a cuatro semanas antes de avanzar hacia la aplicación plena de SPF. Señala cada fuente de envío que no supere la alineación SPF e investiga cada una.
3. Resuelve las brechas. Añade el mecanismo correcto para cada remitente legítimo que haya fallado.
4. Fallo grave. Pasa a -all una vez que los reportes DMARC muestren una tasa de aprobación estable en todos los remitentes legítimos conocidos. Esto es la aplicación plena de SPF. Combínalo con p=reject.

Repite esta secuencia para cada subdominio que envíe correo electrónico. Un subdominio hereda por defecto la política DMARC del dominio principal, pero su registro SPF es independiente y necesita su propio despliegue de SPF por etapas.

Haga pruebas antes y después de cada cambio

Tanto si añades un registro SPF por primera vez como si actualizas uno, un despliegue de SPF empresarial sigue siendo un cambio de DNS y merece el mismo escrutinio. Antes de publicar, pasa el registro propuesto por un validador del número de consultas para confirmar que se mantiene por debajo del límite. Después de publicar, valida la propagación.

El SPF Record Checker de Sendmarc confirma que las fuentes están configuradas correctamente y que las consultas están por debajo del límite.

Documenta tu despliegue de SPF empresarial

Un despliegue de SPF empresarial genera pruebas que los equipos de riesgos y cumplimiento normativo solicitarán, especialmente una vez que la aplicación de SPF esté en marcha.

Mantén actualizados cuatro registros:

• El registro de remitentes de tu inventario
• Un historial de cambios del registro SPF
• El número actual de consultas
• Un registro de incidentes de fallos de entrega relacionados con SPF

Esta documentación cumple una doble función: satisface a los auditores, que necesitan comprobar que los controles son deliberados, y te ofrece una única fuente de verdad para tu registro SPF.

Cómo ayuda Sendmarc

Sendmarc reduce la carga de coordinación necesaria para mantener los registros precisos en cada etapa de la aplicación de SPF. El número de consultas se supervisa continuamente, los cambios de remitentes se registran sin trabajo manual con hojas de cálculo y tu registro de auditoría se mantiene actualizado sin aumentar la carga de trabajo interna.

Como la infraestructura de los proveedores cambia según su propio calendario, un registro SPF necesita atención continua. La Optimización SPF de Sendmarc simplifica los registros SPF a medida que cambian las IP de los proveedores, para que tu despliegue de SPF empresarial se mantenga preciso mucho después de la fecha inicial de aplicación.

Optimiza tu registro y mantén todos los dominios de tu cartera listos para auditorías a medida que avanzas hacia la aplicación de SPF.