29 Oct 20267 minutes read
SendmarcEstrategia de registros SPF para entornos de correo electrónico empresariales
Resumen:
- Su entorno de envío, ya sea local, híbrido o totalmente SaaS, determina qué tan complejo se vuelve su registro SPF.
- Un inventario de remitentes muestra lo que le falta a su registro SPF y cuándo el softfail de SPF puede convertirse en un hard fail.
- Procure que tanto la alineación SPF como la alineación DKIM pasen para cada remitente, de modo que un solo fallo no rompa la autenticación.
- Superar las 10 búsquedas DNS hace que falle la verificación SPF, así que trate el conteo de búsquedas como un presupuesto con un responsable.
- El aplanamiento de SPF acorta la cadena de búsquedas, pero un registro SPF aplanado queda desactualizado si no se actualiza de forma automática.
Cada nuevo proveedor de correo electrónico se suma a su registro SPF, y SPF permite solo 10 búsquedas DNS por evaluación. Cada include puede consumir varias de ellas. Una vez superado el límite, la verificación SPF falla y los remitentes que usted autorizó pueden dejar de pasar la autenticación.
Esta guía está dirigida a CIO, administradores de correo electrónico y responsables de seguridad de TI que ya saben qué es un registro SPF. Explica cuándo vale la pena el mantenimiento del aplanamiento de SPF y por qué la alineación DKIM debe pasar junto con la alineación SPF. También aborda cuándo publicar un softfail de SPF en lugar de un hard fail y qué auditar antes de modificar su registro SPF.
Revise cuántas búsquedas DNS ya utiliza su registro SPF con nuestro verificador de registros SPF gratuito, para saber cuánto margen queda antes de agregar el próximo proveedor.
Comience el diseño de su registro SPF
El origen de su correo electrónico determina qué tan complejo es su registro SPF. Tres entornos de envío cubren a la mayoría de las empresas.
Solo local. El correo sale de servidores que usted controla, por lo que el registro SPF se mantiene corto y estable. El riesgo es la desviación: alguien agrega un relay, el registro SPF no se actualiza y el correo legítimo empieza a fallar.
Híbrido. Los sistemas locales funcionan junto con al menos una plataforma de marketing o transaccional. Cada plataforma en la nube o de terceros agrega su propia referencia include, que consume búsquedas DNS.
Totalmente SaaS. Todos los remitentes son plataformas en la nube, por lo que el registro SPF depende de los mecanismos include de los proveedores en lugar de rangos de IP que usted controla. Tiene visibilidad limitada de lo que contienen esos registros de proveedores. Verifique si cada proveedor puede firmar con alineación DKIM a su dominio, lo que reduce su dependencia de su include. Un proveedor puede cambiar su infraestructura de envío y su registro SPF puede fallar sin que usted haga una sola edición.
Los entornos híbridos y totalmente SaaS son donde las decisiones de arquitectura se vuelven difíciles. El resto de esta guía se aplica sobre todo a ellos.
Elabore un inventario de remitentes antes de auditar el registro SPF
La mayoría de los fallos de SPF en las empresas son problemas de inventario, no técnicos. Un registro SPF solo enumera los remitentes que estaban autorizados cuando alguien lo editó por última vez, y el panorama real de envíos sigue cambiando.
Marketing agrega una plataforma de automatización. Finanzas incorpora una herramienta de facturación que envía desde el dominio principal. Un departamento adopta un CRM de nicho que nadie registra de forma centralizada.
Obtenga los reportes agregados de DMARC y compare las fuentes de envío con su lista de remitentes autorizados. Una fuente que aparece en los reportes pero no en el registro SPF no está autorizada o falta en el registro.
Registre dos datos de cada remitente:
- La criticidad para el negocio, como recibos transaccionales, confirmaciones de nómina o alertas de seguridad
- Cómo el remitente pasa DMARC: mediante la alineación SPF, la alineación DKIM o ambas
El segundo dato determina el diseño de su registro SPF, como explica la siguiente sección. El inventario también decide si su registro SPF puede pasar con seguridad de un softfail de SPF a un hard fail.
Use la alineación DKIM cuando el registro SPF no pueda alinearse
DMARC pasa cuando se cumple la alineación SPF o la alineación DKIM. La alineación SPF exige que el dominio del Return-Path coincida con el dominio visible “From”. La alineación DKIM exige que coincida el dominio de la firma DKIM (el valor d=).
Sendmarc recomienda que tanto la alineación SPF como la alineación DKIM pasen para cada remitente siempre que sea posible. Basta con una de las dos para DMARC, pero que pasen ambas mantiene el correo autenticado cuando una se rompe.
Algunos remitentes no pueden cumplir la alineación SPF. Algunas plataformas usan su propio dominio en el Return-Path, por lo que SPF pasa para el dominio del proveedor y no para el suyo. Para estos remitentes, la alineación DKIM es la vía más confiable.
Trate el límite de búsquedas DNS del registro SPF como una restricción operativa
Un registro SPF no puede activar más de 10 búsquedas DNS durante la evaluación. Los mecanismos que cuentan son include, a, mx, exists y redirect. Cualquier include dentro del registro de un proveedor también cuenta para el mismo límite, y usted no controla cuántos hay.
Superar las 10 búsquedas devuelve un permerror y la verificación SPF falla. El efecto en la entrega depende de si la alineación DKIM sigue pasando para DMARC.
Trate el conteo de búsquedas como un presupuesto con un responsable designado y revíselo antes de cada nuevo proveedor.
Cuándo conviene el aplanamiento de SPF en su registro SPF
El aplanamiento de SPF reemplaza los mecanismos include por las direcciones IP a las que se resuelven, lo que acorta la cadena de búsquedas. La contrapartida es el mantenimiento. Un registro SPF aplanado estático queda desactualizado cuando un proveedor cambia sus IP de envío, y el correo de ese proveedor falla entonces en SPF.
Use esta verificación para decidir si el aplanamiento se adapta a su entorno.
El aplanamiento conviene cuando:
- El registro SPF está en el límite de 10 búsquedas o a un solo
includede alcanzarlo - Una herramienta automatizada regenera el registro cuando cambian las IP de los proveedores
El aplanamiento no conviene cuando:
- Se agregan plataformas nuevas con frecuencia
- Nadie supervisa los cambios de DNS en los proveedores de envío
- El equipo no puede sostener actualizaciones manuales
Softfail de SPF o hard fail en su registro SPF de producción
El mecanismo all final define qué ocurre con las fuentes que su registro SPF no incluye. -all devuelve un hard fail y ~all devuelve un softfail de SPF. En la práctica, un hard fail pide al receptor que rechace el mensaje, y un softfail de SPF le pide que lo acepte pero lo marque como sospechoso.
DMARC no distingue entre ambos. Los dos son resultados de SPF que no pasan, por lo que el mensaje solo puede pasar DMARC mediante la alineación DKIM.
Elija el calificador según qué tan bien conozca a sus remitentes:
- Use
-allcuando todos los remitentes legítimos estén inventariados y monitoreados - Use
~all(softfail de SPF) mientras el inventario esté incompleto - Use
v=spf1 -allen los dominios que nunca envían correo electrónico
Dónde se queda corto un registro SPF por sí solo
SPF valida el remitente del sobre (el Return-Path), no la dirección visible “From” que ven los destinatarios. Un mensaje que suplanta la dirección visible “From” puede pasar SPF. DMARC cierra esta brecha al exigir alineación entre el dominio autenticado y el dominio “From”.
SPF también se rompe con el reenvío. La dirección IP de un reenviador generalmente no está en el registro SPF del remitente original, por lo que SPF falla incluso cuando el remitente es legítimo. Espere estos fallos en entornos con mucho reenvío. No indican necesariamente que el registro SPF esté mal configurado.
La alineación DKIM suele resistir mejor el reenvío porque la firma viaja con el mensaje. Aun así, puede romperse si un intermediario modifica el contenido, como hacen algunas listas de correo.
Lista de verificación para auditar su registro SPF
Ejecute estas verificaciones en su registro SPF actual antes de hacer cambios de arquitectura.
- Cuente todos los mecanismos que activan búsquedas, incluido cada
includeanidado dentro de los registros de sus proveedores. Un total cercano a 10 no deja margen para el siguiente proveedor. - Relacione cada
includecon un remitente que siga activo, usando las fuentes de envío de sus reportes agregados de DMARC. Elimine losincludeque dejaron los proveedores dados de baja. - Elimine los mecanismos duplicados. Dos
includeque se resuelven en rangos de IP superpuestos desperdician presupuesto de búsquedas. - Confirme que cada remitente crítico esté cubierto por la autorización SPF o por la alineación DKIM, usando los datos agregados de DMARC como evidencia.
- Revise si el calificador
allfinal debe seguir siendo un softfail de SPF o pasar a un hard fail, siguiendo la guía anterior.
Repita la auditoría de forma periódica y después de cada adquisición, migración de plataforma o cambio de proveedor. Los entornos de correo electrónico empresariales cambian continuamente, y un registro SPF que era correcto en la última revisión puede estar desactualizado hoy.
Cómo puede ayudar Sendmarc con su registro SPF
Los equipos de seguridad y de TI, con recursos limitados, dedican su tiempo a auditorías manuales de SPF y a solicitudes de cambios de DNS de otros departamentos. Los remitentes desconocidos aumentan la carga, porque los equipos suelen descubrirlos solo después de que el correo falla.
La plataforma de Sendmarc aborda cuatro problemas comunes de SPF:
- Remitentes desconocidos y TI en la sombra. Sendmarc muestra qué servicios de envío están en uso y dónde falla la autenticación, para que los remitentes no autorizados y no registrados salgan a la luz antes de interrumpir el correo crítico. Esa evidencia le permite endurecer su registro SPF de un softfail de SPF a un hard fail con confianza.
- Riesgo por el límite de búsquedas. SPF Flattening/Optimization monitorea el conteo de búsquedas y resuelve las búsquedas en tiempo real, manteniendo su registro SPF dentro del límite de 10 búsquedas a medida que cambian los proveedores.
- Registros que se desactualizan. El monitoreo y la optimización continúan después de la aplicación de la política, por lo que su registro SPF se mantiene al día a medida que cambia su entorno.
Explore SPF Flattening/Optimization para mantener su registro SPF dentro del límite de 10 búsquedas a medida que cambian los proveedores y obtener visibilidad de qué fuentes de envío fallan la autenticación en todos sus dominios.
