SPF, DKIM y DMARC: Un flujo de trabajo de autenticación por correo electrónico
Inspeccione SPF, DKIM y DMARC en un orden razonable sin confundir DNS publicado con entrega exitosa.
Inventario de los servicios que envían por usted
Comience con una lista de los sistemas que realmente utiliza: un proveedor de buzón, plataforma de boletines, servicio de transacción y cualquier software de soporte o facturación. Para cada uno, registre el visible Desde dominio, dominio esperado de retorno y el selector DKIM suministrado por el proveedor. Este inventario da contexto de resultados DNS. Un registro puede parecer plausible en aislamiento mientras omite un servicio que envía correo legítimo o conserva un servicio que su organización ya no utiliza.
SPF describe una ruta de envío autorizada
SPF evalúa una IP que envía contra la política asociada con el dominio del remitente sobre, en lugar de simplemente leer la dirección visible. Su estructura incluye y redirige puede depender de nuevas respuestas del DNS. Utilice el control SPF para inspeccionar el registro publicado o pegado y su estimación de búsqueda conservadora. Un recuento estático no puede reproducir completamente cada evaluación dependiente del mensaje. Si una solicitud DNS no completa, mantenga el resultado inconclusivo en lugar de tratar el registro no disponible como un pase.
DKIM conecta una firma a una clave publicada
Un sistema de envío muestra el contenido del mensaje con una clave privada. Los receptores utilizan el dominio selector y de firma para localizar una clave pública en DNS, comúnmente bajo selector._domainkey.example.com. Este checker puede inspeccionar la publicación, etiquetas comunes y codificación base64. No valida la estructura ASN.1 de una llave RSA ni la fuerza del módulo. No puede verificar un mensaje sin la firma de ese mensaje y el contenido firmado. Registre el selector que su proveedor realmente utiliza; consultar un selector adivinado puede producir una ausencia que dice poco acerca de otro selector válido.
DMARC lleva el remitente visible a la comparación
DMARC verifica la alineación entre el dominio visible y una identidad SPF o DKIM exitosa, y publica una política de manejo solicitada. Una marca de registro ayuda a inspeccionar las etiquetas y la política; un registro generado es un borrador para revisar contra su inventario de envío. No asuma que cambiar la política fija un servicio no deseado. Confirme la configuración de autenticación de cada servicio primero, luego utilice las observaciones y la orientación del proveedor al decidir cómo manejar los mensajes que fallan los cheques alineados.
| Check | Usos | No establece |
|---|---|---|
| SPF record | Política de desarrollo | Visible De alineación o colocación en la caja |
| DKIM record | Clave selectora publicada y codificación básica | Estructura clave RSA o pase de firma de mensajes |
| DMARC record | Ajustes de alineación y política solicitada | Que cada servicio de envío está alineado |
| Headers / reportes | Observaciones recibidas | Autenticidad de pruebas falsificadas arbitrarias |
Use mensajes e informes reales como evidencia independiente
Para un cheque práctico, envía un mensaje de prueba ordinario a través de cada servicio esperado e inspecciona los encabezados añadidos por un sistema de recepción confiable. Compare el dominio visible, la ruta de retorno y el dominio de firma con su inventario. Los informes agregados de DMARC ofrecen otra opinión: fuentes, recuentos de mensajes y resultados de autenticación notificados durante un período. Utilice el lector de informes para identificar una fuente que vale la pena investigar. Un informe puede resumir los fracasos, pero no explica automáticamente si son abusos, reenvío o una configuración errónea legítima.
Mantenga el alcance y la confianza visible
Los encabezados pegados y los informes XML son datos suministrados a la herramienta; el lector no establece su autenticidad. Una línea de resultados de autenticación copiada de una parte no confiada de un mensaje no debe superar los propios resultados de confianza del proveedor receptor. Asimismo, una clave DNS pública demuestra la publicación, no que su servicio firmó el mensaje que usted inspeccionó. Mantenga un registro breve de pruebas que contenga el registro, el mensaje o informe pertinente, el proveedor y el tiempo del cheque antes de llegar a una conclusión.
Investigar la entrega con una lista de verificación más amplia
Pasar la autenticación es sólo una parte de la entrega de correo. Gmail publica los requisitos del remitente que también cubren el envío de infraestructura, formato de mensajes y prácticas de uso. Iniciar una investigación de entrega con la respuesta exacta del proveedor receptor y un ejemplo reproducible. Revisar los cambios en el inventario del remitente antes de cambiar el DNS de nuevo. Las herramientas de autenticación aclaran los registros y las observaciones; no pueden prometer la colocación de la bandeja de entrada, evitar las políticas de un proveedor o determinar la reputación de un solo cheque de registro.