¿Qué es la autenticación de correo?

Definición

La autenticación de correo es un grupo de estándares técnicos, publicados como registros en el DNS de tu dominio, que verifican el origen y la integridad de un mensaje de correo. El correo no se diseñó pensando en la verificación del remitente, así que de forma predeterminada cualquiera puede poner cualquier dirección en el campo From. La autenticación cierra esa brecha al dar a los servidores receptores una manera de comprobar si un mensaje que dice provenir de tu dominio fue realmente autorizado por él.

Tres protocolos hacen el trabajo. SPF, el Sender Policy Framework, declara qué servidores de correo tienen permiso para enviar en nombre de tu dominio. DKIM, DomainKeys Identified Mail, adjunta una firma criptográfica a cada mensaje para que el receptor pueda confirmar que no se manipuló y que se originó en tu dominio. DMARC, Domain-based Message Authentication, Reporting and Conformance, vincula esas comprobaciones con la dirección que los destinatarios ven en realidad e indica a los receptores cómo manejar el correo que falla. Un estándar relacionado, BIMI, puede mostrar un logo de marca verificado una vez que DMARC está en modo de aplicación, pero se apoya en esta pila en lugar de reemplazarla.

La autenticación es una propiedad del dominio de envío, configurada por el propietario del dominio en el DNS. No es algo que configure un destinatario, y es independiente de la cuestión de si los destinatarios de tu lista son reales. Esa segunda cuestión es el trabajo de la verificación de correo, razón por la cual ambas suelen tratarse en paralelo.

Cómo funciona

Cada protocolo se ejecuta en el momento en que un servidor receptor acepta un mensaje. SPF funciona mediante un registro DNS que enumera las direcciones IP y los servidores autorizados para enviar correo en nombre de tu dominio. Cuando llega un mensaje, el servidor receptor mira la dirección IP del servidor de envío y la coteja con tu registro SPF publicado. Si la IP está en la lista, SPF pasa; si no, falla.

DKIM funciona mediante criptografía de clave pública. Tu sistema de envío firma los mensajes salientes con una clave privada, adjuntando una firma en la cabecera del mensaje, y publica la clave pública correspondiente en el DNS. El servidor receptor recupera la clave pública, valida la firma y confirma dos cosas a la vez: que el mensaje fue firmado por tu dominio y que las partes firmadas del mensaje no se alteraron en tránsito.

DMARC se sitúa por encima y añade el concepto de alineación. SPF y DKIM autentican cada uno un dominio, pero ese dominio no siempre es el que una persona ve en la línea From. DMARC exige que el dominio autenticado se alinee con el dominio From visible, que es lo que impide que un atacante pase la autenticación con un dominio que controla mientras suplanta el tuyo en la dirección visible. Un registro DMARC también publica una política: p=none pide a los receptores únicamente monitorear e informar, p=quarantine les pide tratar el correo fallido con desconfianza, y p=reject les pide bloquearlo. DMARC además genera informes agregados que te muestran quién envía correo en nombre de tu dominio, lo cual es de un valor incalculable para detectar configuraciones erróneas y abusos.

Por qué importa para la entregabilidad del correo

La autenticación de correo ha pasado de ser una buena práctica a un requisito ineludible. Gmail y Yahoo aplican requisitos para remitentes que convierten la autenticación en una condición previa para la entrega. Todo remitente necesita tener SPF o DKIM en marcha, junto con un DNS inverso válido, un registro PTR bien configurado y una transmisión cifrada con TLS. Los remitentes masivos, los que envían aproximadamente 5,000 mensajes o más al día a direcciones de Gmail, afrontan obligaciones adicionales: deben publicar un registro DMARC, pasar la alineación de dominio y ofrecer la baja con un solo clic en el correo de marketing. Yahoo aplica reglas muy parecidas y espera que los remitentes masivos mantengan las tasas de quejas de spam por debajo del 0.30 por ciento. Una política DMARC de p=none satisface actualmente el requisito de DMARC, aunque avanzar hacia la aplicación ofrece una protección más fuerte contra la suplantación.

La razón por la que los proveedores insisten en la autenticación es la confianza. La autenticación permite a un receptor tener la certeza de que el correo que dice provenir de tu dominio realmente lo hace, lo que bloquea la suplantación de dominio exacto que se usa en el phishing y en el fraude del correo empresarial (BEC). El correo que falla la autenticación, o que proviene de un dominio sin ninguna autenticación, tiene muchas más probabilidades de ser filtrado a spam o rechazado de plano.

Es importante ser preciso sobre lo que la autenticación hace y lo que no. Demuestra la identidad; no responde por el contenido. Un spammer puede autenticar un dominio de su propiedad. Así que la autenticación es necesaria para una buena entregabilidad, pero no suficiente por sí sola. Los proveedores de correo la combinan con la reputación del remitente, la interacción del destinatario y el análisis del contenido. La autenticación te hace cruzar la puerta; la reputación y la interacción determinan en qué carpeta acabas.

Cómo lo gestiona VeriMails

La autenticación de correo y la verificación de correo son las dos mitades de un envío confiable, y cubren extremos opuestos del proceso. La autenticación tiene que ver con el dominio desde el que envías y se configura en el DNS. La verificación tiene que ver con las direcciones a las que envías y es la parte que VeriMails maneja directamente. Ambas deben estar en su sitio: un dominio perfectamente autenticado aun así pierde llegada a la bandeja de entrada si envía a una lista llena de direcciones muertas, porque los rebotes y quejas resultantes destruyen la reputación de remitente que los proveedores sopesan junto con la autenticación.

VeriMails verifica tu lista de destinatarios para que la autenticación no quede socavada por una mala calidad de la lista. Cada dirección atraviesa una comprobación completa de varias capas: validación de sintaxis, confirmación de MX y DNS, un handshake SMTP en vivo con el servidor de correo receptor, y detección de dominios catch-all, direcciones desechables y direcciones por rol. Eliminar las direcciones inválidas mantiene baja tu tasa de rebote duro, y una tasa de rebote baja es una de las señales de reputación que decide si tu correo autenticado llega a la bandeja de entrada o a la carpeta de spam. Puedes verificar una lista entera mediante una carga por CSV o comprobar direcciones de una en una a través de la REST API. VeriMails devuelve categorías de entregabilidad claras para los flujos de API y masivos.

VeriMails también ofrece herramientas gratuitas que ayudan en el propio lado de la autenticación, incluidos un generador de SPF, un generador de DKIM y un generador de DMARC, para que puedas producir los registros DNS correctos para tu dominio. Usadas juntas, la autenticación establece que eres un remitente legítimo y la verificación mantiene tu lista lo bastante limpia como para conservar esa posición. Las cuentas nuevas reciben 100 créditos gratuitos al registrarse, sin necesidad de tarjeta de crédito y con créditos que nunca caducan, con la verificación desde 0.0019 dólares por correo, que son 19 dólares por 10,000 créditos, y planes anuales desde $12.50/month con facturación anual.

Preguntas frecuentes