Respuesta corta: Tres entradas, tres tareas
¿Qué servidores pueden enviar para su dominio?
¿Ha cambiado el mensaje en el camino?
¿Qué pasa si hay falta de autenticación?
Los tres métodos no son una garantía de entrada de correo. Ellos prueban que un correo electrónico viene de un remitente autorizado y no fue cambiado a lo largo del camino. La reputación, el contenido y la retroalimentación del destinatario siguen siendo un factor decisivo.
1. Por qué la autenticación de correo electrónico es importante
Sin autenticación, cualquiera puede cortar su nombre de dominio en el remitente. Esto es abusado por phishing, fraude de facturas y spam - y daña su reputación de dominio a largo plazo. Grandes proveedores de correo están requiriendo cada vez más SPF, DKIM y DMARC para enviar a sus usuarios. Cualquier persona que envía boletines, facturas o correos electrónicos del sistema no debe dejar las entradas al azar.
La distinción es importante: la autenticación no es un filtro de spam y no un cifrado. Responde a la pregunta “¿Pueden estos servidores enviar este correo en nombre de este dominio?” – no “¿Es este correo deseado o seguro?”.
2. SPF: ¿Quién puede enviar?
SPF (Sender Policy Framework) es un registro DNS TXT. Lista los servidores y servicios que se permiten enviar para su dominio. Un receptor compara la dirección IP del servidor de envío con esta lista.
example.at. TXT "v=spf1 include:_spf.example.net -all"Wichtig: Hay sólo un registro SPF por dominio. Múltiples registros SPF conducen a un PermError. El registro también tiene un límite de diez búsquedas DNS; muchos incluyen puede exceder este límite. Y: SPF comprueba el remitente del sobre (camino de retorno), no automáticamente el visible desde la dirección.
3. DKIM: ¿No cambia el correo electrónico?
DKIM (DomainKeys Identified Mail) firma el mensaje con una llave privada. La clave pública adecuada está en una entrada DNS bajo un selector. El destinatario puede usar esto para comprobar si los encabezados y el contenido firmados se cambiaron en el camino.
selector._domainkey.example.at. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."La clave privada permanece en el servidor de correos o con el servicio de envío. Nunca publicar la clave privada en DNS. Algunos proveedores de DNS tienen límites de longitud para las teclas de 2048 bits; luego la entrada debe ser dividida u otro selector utilizado.
4. DMARC: ¿Qué sucede si se produce un error?
DMARC (Autorización de Mensajes basados en dominio, Reportaje y Conformance) combina SPF y DKIM. Comprueba si el dominio visible coincide con el dominio autenticado (alineamiento) y establece una política.
_dmarc.example.at. TXT "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=s; aspf=s; pct=100"- ✓ p=none: sólo observar, no hay cambio de entrega.
- ✓ p=cuarantina: Mueva correos sospechosos en cuarentena/spam.
- ✓ p=reject: Unuthentifizierte Mails ablehnen.
- ✓ Rua: Enviar informes agregados a una dirección de correo electrónico.
- ✓ adkim/aspf: Alineación estrecha o suelta.
Starte mit p=none und werte die Reports aus. Erst wenn alle legitimen
Versandwege erkannt und authentifiziert sind, solltest du auf quarantine und später
reject wechseln. Ein sofortiges reject kann Newsletter, Weiterleitungen oder
Systemmails abbrechen.
5. La interacción - y un ejemplo
Eine typische Prüfung läuft so: Der Empfänger sieht eine Mail von [email protected].
SPF prüft die IP des sendenden Servers, DKIM prüft die Signatur, DMARC vergleicht die
authentifizierte Domain mit der sichtbaren From-Domain und wendet die Policy an.
| Entrada | Zweck | Típico error |
|---|---|---|
| SPF | IPs de remitente autorizados | Dos registros SPF o límite de búsqueda excedido |
| DKIM | Firma e integridad | Selector incorrecto o clave caducada |
| DMARC | Alineación y política | Demasiado pronto para rechazar, los informes no evaluados |
Die Beispiele sind Platzhalter. Kopiere keine fremden Werte und teste Änderungen zuerst
mit einer kleinen Teilmenge (pct) und aussagekräftigen Reports.
6. Errores típicos
Sólo una entrada SPF TXT por dominio; Merge incluye limpiamente.
SPF/DKIM debe coincidir con lo visible desde el dominio, no sólo ser válido en algún lugar.
SPF rompe algunas redirecciones; DKIM a menudo sigue siendo más estable.
Newsletters, CRM, tiendas y grabación de tiempo a menudo envían a través de sus propios servicios.
Sin una dirección de rua, DMARC sigue siendo un vuelo ciego.
Primero observa, luego cuarentena, luego rechaza – no por el otro lado.
7. Archiving, migration and operations
La autenticación es sólo una parte de una infraestructura de correo electrónico limpia. Esto incluye buzones, alias, filtros de spam, TLS y un proceso de desembarque documentado. Durante una migración, buzones, calendarios y contactos se realizan, se revisan las entradas de MX y DNS y se acompaña el cambio.
Archivar es más que almacenar correos electrónicos antiguos: requiere periodos de retención definidos, rutas de exportación y recuperación, y responsabilidades claras. Ya sea y por cuánto tiempo usted tiene que mantener correos electrónicos depende de la industria y la forma legal - esto no es asesoramiento legal. Configuramos el archivo técnico de acuerdo a sus especificaciones y documentamos el proceso.
8. Lista de verificación de la instalación
Las casillas de verificación son un recordatorio, no un estado guardado.
Preguntas sobre SPF, DKIM y DMARC
SPF es una lista DNS de servidores que se permiten transmitir para su dominio. DKIM firma criptográficamente cada correo electrónico para que los destinatarios puedan ver si el mensaje ha sido alterado. DMARC combina ambos métodos, comprueba si coincide con su dominio y determina qué debe pasar a correos electrónicos no autenticados.
No. SPF sólo comprueba el remitente de sobres y puede romper con redirecciones o rutas de entrega complejas. Para resultados confiables, necesita SPF, DKIM y DMARC juntos - y una evaluación regular de los informes DMARC.
p=none es el nivel de observación: DMARC verifica la autenticación, pero no cuarentena o rechaza cualquier correo, y es el comienzo adecuado para conocer los remitentes, informes y configuraciones erróneas, y sólo entonces debe cambiar a cuarentena o rechazar.
La autenticación sólo demuestra que un email viene de un remitente autorizado. No dice nada sobre contenido, reputación, quejas, bloquealistas, volumen de envío o retroalimentación del destinatario. Filtros de spam, archivos adjuntos, enlaces y un dominio joven también pueden influir en la entrega.
Eso es arriesgado. Si existen canales de envío desconocidos, herramientas de boletines o redirecciones, se pueden perder correos electrónicos legítimos. La forma habitual es: p=none, evaluar informes, registrar todos los remitentes legítimos, luego gradualmente cuarentena y luego rechazar.
No. Los tres métodos autentican el remitente y la integridad del mensaje, no lo encriptan. El cifrado de transporte se ejecuta sobre TLS entre los servidores de correo. Para la confidencialidad de extremo a extremo, también necesita cifrado de extremo a extremo.
Esto depende del número de dominios, buzones de correo y rutas de envío. Con una configuración manejable, el esfuerzo es a menudo pequeño; Para múltiples sistemas, migraciones o archivo, los costos se calculan individualmente. Después de un breve cheque, usted recibirá un precio fijo para el alcance acordado.