¿Qué es un registro DMARC y cómo ayuda a combatir el spam?

Todavía la mayoría de los ataques exitosos contra equipos y redes provienen de malware, troyanos y virus que no se introducen aprovechando fallos de seguridad en una infraestructura TI, sino que se propagan mediante correos electrónicos infectados. Para combatir esta amenaza permanente, empresas como PayPal, Microsoft, Google y Facebook desarrollaron la especificación Autenticación de Mensajes, Informes y Conformidad Basada en el Dominio (DMARC), que se basa en predecesores como DomainKeys Identified Mail (DKIM) y el Sender Policy Framework (SPF). Se trata de procedimientos similares con los que se puede autenticar el correo electrónico y verificar a sus remitentes para detectar SPAM y datos de remitente falsos (spoofing).

¿Qué ventajas ofrece DMARC para la protección contra el SPAM?

Hasta 2003, los clientes y servidores de correo prescindían por completo de comprobar el origen y la autenticidad de los remitentes: los sistemas entregaban cualquier mensaje sin exigir prueba alguna de identidad. Esta situación permitió que el SPAM y las direcciones falsificadas (spoofing) se utilizaran sin problemas para suplantar identidades, por ejemplo para obtener información sensible (phishing). No fue hasta la aparición inicial e informal del SPF —un antecedente de DMARC— que la situación cambió. Desde entonces se ha alcanzado un amplio consenso en que un control estricto del correo electrónico es una de las condiciones mínimas para una comunicación segura en Internet.

La especificación DMARC, tras SPF y DKIM, establece por tercera vez estándares más exigentes para la verificación y el tratamiento de un correo electrónico. Entre sus características figuran, entre otras:

• Verificación del origen en un servidor autorizado (según SPF)
• Comprobación y autenticación de la firma del servidor de correo (según DKIM)
• Implementación sencilla en VPS y Servidor Dedicado
• Dominio idéntico y servidor de correo asociado en la cabecera FROM
• Clasificación de un correo electrónico según distintos criterios
• Configuración mediante un registro TXT en el DNS
• Posibilidad de aplicar una regla estricta (policy) para rechazar SPAM
• Compatibilidad paralela con DKIM y SPF

DMARC no es un reemplazo, sino un complemento de sus predecesores SPF y DKIM. Permite una mayor especialización y una graduación más precisa de los criterios. Entre otras cosas, admite la diferenciación entre dominios principales y subdominios y la gestión del correo electrónico conforme a las políticas establecidas, que pueden definirse de forma distinta según el origen y la verificación.

¿Cómo se estructura el registro TXT para DMARC?

Al igual que SPF y DKIM, DMARC utiliza un registro TXT almacenado por el administrador en el servidor de nombres (Nameserver) para configurar el tipo de control y el comportamiento en caso de cumplimiento o violación de la política. Como requisito indispensable para su uso debe existir previamente la implementación de SPF y DKIM mediante los correspondientes registros TXT. A continuación DMARC se compone de los siguientes elementos:

• v: DMARC y número de versión que indica su uso
• p: Política aplicada a un dominio
• sp (opcional): Política aplicada a un subdominio
• pct (opcional): Porcentaje de mensajes a los que se aplica la política
• rua (opcional): Dirección de correo electrónico para el envío de informes desde servidores externos
• ruf (opcional): Dirección de correo electrónico para la recepción de informes forenses
• rf (opcional): Formato de los informes
• adkim: Alineamiento con DKIM
• aspf: Alineamiento con SPF

Es importante mantener la sintaxis formal de un registro TXT: toda la configuración de DMARC se coloca exclusivamente en su campo de texto, y los parámetros individuales se separan mediante un punto y coma. Un registro DMARC típico y completo se ve, por ejemplo, así:

www.example.com. 7200 IN TXT "v=DMARC1;p=quarantine;sp=reject;pct=100;rua=mailto:dmarc@example.org;ruf=mailto:forensik_dmarc@example.org;adkim=s;aspf=r"

Es posible combinar varios registros TXT para aplicar diferentes opciones simultáneamente.

Imagen: Gino Crescoli en Pixabay