DMARC: detección de abusos del dominio de correo ele­c­tró­ni­co

Los correos ele­c­tró­ni­cos frau­du­le­n­tos son cada vez más pe­li­gro­sos. A menudo, es difícil para el receptor di­fe­re­n­ciar­los de los correos ve­r­da­de­ros: muestran un nombre de remitente conocido y toman el aspecto familiar de correos de ne­w­s­le­t­ter o de servicios conocidos. Para luchar contra esta amenaza se creó el mecanismo de ve­ri­fi­ca­ción DMARC (Domain-based Message Au­the­n­ti­ca­tion Reporting and Co­n­fo­r­ma­n­ce), que en español se traduce como Au­te­n­ti­ca­ción de mensajes, informes y co­n­fo­r­mi­dad basada en dominios.

Para contener el peligro de los ataques de phishing, se han es­ta­ble­ci­do di­fe­re­n­tes es­tá­n­da­res de seguridad:

• SPF (Sender Policy Framework), para verificar la dirección del remitente de correos ele­c­tró­ni­cos.
• DKIM (Do­mai­n­Ke­ys Ide­n­ti­fied Mail), para verificar la au­te­n­ti­ci­dad de correos ele­c­tró­ni­cos por medio de firma digital.

Como pro­pie­ta­rio de un dominio, no te interesa que un estafador pueda enviar correos ele­c­tró­ni­cos dañinos o spam en tu nombre. De ser así, tu dominio apa­re­ce­ría en las listas negras y tus mensajes de correo serían re­cha­za­dos por muchos se­r­vi­do­res de correo (bounces) o tratados como correos ele­c­tró­ni­cos no deseados.

Un ejemplo: María González es pro­pie­ta­ria del dominio test.com y envía sus mensajes de correo ele­c­tró­ni­co con la dirección maria.gonzalez@test.com. Si ahora un estafador se aprovecha de la dirección sales@test.com y la utiliza como correo de spam, el dominio test.com se añade a las listas negras y los se­r­vi­do­res re­ce­p­to­res bloquean los correos ele­c­tró­ni­cos de maria.gonzalez@test.com.

DMARC es la abre­via­tu­ra de Domain-based Message Au­the­n­ti­ca­tion Reporting and Co­n­fo­r­ma­n­ce (Au­te­n­ti­ca­ción de mensajes, registro y co­n­fo­r­mi­dad basada en dominios). Este concepto se de­sa­rro­lló para que los se­r­vi­do­res re­ce­p­to­res ve­ri­fi­ca­ran la au­te­n­ti­ci­dad de los correos ele­c­tró­ni­cos (por medio de SPF y DKIM) y, en caso de un resultado negativo, también tomaran medidas acordadas pre­via­me­n­te con el pro­pie­ta­rio del dominio del correo enviado.

El pro­pie­ta­rio del dominio informa a todos los po­te­n­cia­les re­ce­p­to­res de correo ele­c­tró­ni­co (es decir, a sus se­r­vi­do­res), que ha firmado sus correos ele­c­tró­ni­cos con DKIM y/o los ha ve­ri­fi­ca­do con SPF. Les pide que ve­ri­fi­quen todos los correos pro­ce­de­n­tes de su dominio y que en caso so­s­pe­cho­so (si la ve­ri­fi­ca­ción es negativa) tome medidas. Esto lo comunica in­clu­ye­n­do un registro en la zona de dominio y en el en­ca­be­za­do del correo ele­c­tró­ni­co.

El servidor receptor comprueba si se puede au­te­n­ti­fi­car el correo ele­c­tró­ni­co con al menos uno de los dos es­tá­n­da­res: DKIM o SPF. Si no es posible, entonces se considera como “so­s­pe­cho­so”, pudiendo tratarse de una fa­l­si­fi­ca­ción. Por ejemplo, un tercero abusa de la dirección del remitente para sus propios intereses.

El pro­pie­ta­rio del dominio puede re­co­me­n­dar a los re­ce­p­to­res las si­guie­n­tes medidas:

1. devolver el correo ele­c­tró­ni­co so­s­pe­cho­so,
2. ponerlo en cua­re­n­te­na
3. o aceptarlo de todos modos y limitarse a avisar al pro­pie­ta­rio del dominio.

Esta re­co­me­n­da­ción se establece en el informe DMARC (a co­n­ti­nua­ción).

El reporting o informe también forma parte de DMARC. Los se­r­vi­do­res re­ce­p­to­res deben enviar con re­gu­la­ri­dad un informe al dominio del remitente in­fo­r­ma­n­do sobre los correos so­s­pe­cho­sos (es decir, aquellos que no se pudieron au­te­n­ti­fi­car, ni con DKIM, ni con SPF). Estas di­re­c­cio­nes de correo ele­c­tró­ni­co quedan re­gi­s­tra­das en DMARC.

En primer lugar, se re­co­mie­n­da dejar el apartado policy en “none” y observar por un tiempo con ayuda de los informes si DMARC funciona como se desea.

Tienes que añadir el registro DMARC que has creado en tu servidor de nombre como TXT Resource Record. Para ello, inicia sesión en el alo­ja­mie­n­to de tu dominio y abre la co­n­fi­gu­ra­ción (en el ejemplo superior sería el dominio gmx.es). En la he­rra­mie­n­ta de alo­ja­mie­n­to cPanel, el punto del menú co­rre­s­po­n­die­n­te se llama “Zone Editor”. Ahí creas un nuevo registro TXT con el nombre de su­b­do­mi­nio _dmarc. El nombre completo con el cual se accede a tu registro DMARC es, siguiendo nuestro ejemplo, _dmarc.gmx.es.

Lo más sencillo es crear una nueva dirección de correo ele­c­tró­ni­co en tu dominio reservada para los informes DMARC. En nuestro ejemplo: DMARC@test.com