19 mitos de DMARC desacreditados por los expertos
octubre 11, 2023 | 6 min de lectura
Muchas personas no comprenden instantáneamente lo que logra DMARC o cómo protege contra el fraude, la suplantación de identidad y la suplantación de dominio. Hay muchos malentendidos sobre DMARC, cómo funciona la autenticación de correo electrónico y por qué es beneficioso para usted. Pero debido a que los mismos mitos siguen apareciendo, hay algunos elementos repetitivos que vale la pena explorar.
Pero, ¿cómo puedes distinguir lo que está bien de lo que está mal? ¿Y cómo puede estar seguro de que lo está usando correctamente? Skysnag te ha ordenado. En este artículo, analizaremos los diversos mitos de DMARC y comprenderemos por qué es tan crucial para su organización.
Mito #1: Debido a que ya completé SPF y DKIM, no necesito DMARC.
El estándar DMARC (Autenticación, Informes y conformidad de mensajes basados en dominio) es un estándar moderno de autenticación de correo electrónico que utilizan muchos de los principales servidores de correo electrónico para verificar el correo electrónico saliente y entrante (Office 365, Google Workspace y pasarelas de correo electrónico seguras comerciales).
Debido a que SPF y/o DKIM no proporcionan información adecuada, ninguna de las pasarelas descritas anteriormente solo las considerará al tomar decisiones de entrega. En cambio, considerarán una variedad de métricas como DMARC, tasa de participación,etc.
Mito # 2: No puedo utilizar DMARC ya que no uso SPF / DKIM.
Los informes de DMARC le proporcionarán la información que necesita para resolver problemas de autenticación con SPF y DKIM. El paso inicial en cualquier proyecto DMARC es configurar un registro DMARC en modo de monitoreo (p=none), que proporcionará visibilidad de los problemas de autenticación con los flujos de correo permitidos, así como de cualquier actividad de TI oculta y/o suplantación de identidad.
Mito #3: Ya tengo DMARC desde que uso Office 365 o Google Workspace, que afirman admitirlo.
O365 y Google Workspace examinarán el correo entrante para la autenticación de DMARC, pero no proporcionarán visibilidad de DMARC ni te ayudarán a configurar la aplicación de DMARC para tus propios dominios, ni podrán verificar ningún servicio en la nube o local que envíe correo en tu nombre.
Mito # 4: No puedo usar DMARC debido a la configuración de mi correo electrónico
DMARC funciona con cualquier puerta de enlace de correo electrónico, ya sea en las instalaciones o en la nube. DMARC es independiente del flujo de correo y es una entrada DNS separada de los registros MX. Para los clientes que utilizan Exchange, Office 365, Google Workspace y todas las pasarelas de correo electrónico comerciales, Red Sift ha implementado con éxito DMARC.
Mito # 5: DMARC haría ineficaz mi marketing por correo electrónico.
Equivocado de nuevo; en realidad, una vez validado correctamente, DMARC le dará a su carta de marketing la mejor oportunidad de entrega. El problema es que si usa DMARC sin identificar y autenticar primero todo el correo de marketing, puede ponerse en cuarentena o rechazarse por error si cambia a una política de cumplimiento de DMARC.
Mito # 6: Solo los remitentes de correo grandes usan DMARC.
Este no es el caso; ¡DMARC se aplica a todo tipo de empresas, independientemente de su tamaño! Toda empresa necesita autenticar su correo electrónico legítimo y evitar la suplantación ilegal y la suplantación de sus dominios, lo que puede hacerse implementando DMARC a nivel de cumplimiento.
Mito # 7: DMARC es solo una iniciativa de seguridad.
DMARC es un proyecto multifuncional que se completa de manera más rápida y productiva cuando TI, Seguridad, Cumplimiento y Marketing trabajan juntos. Con BIMI, DMARC no solo eliminará la suplantación de identidad y el phishing maliciosos que utilizan dominios de confianza, sino que también identificará la TI oculta, mejorará la entrega legítima de correos electrónicos y aumentará las impresiones de la marca.
Mito # 8: DMARC con p=none es preferible a ningún DMARC.
Es cierto que todos los proyectos de DMARC deben comenzar con p=none. Esto es para obtener la visibilidad necesaria para realizar ajustes de autenticación a fin de cumplir con el cumplimiento de DMARC. Sin embargo, algunos usuarios sienten erróneamente que tener una política DMARC nula mejora su postura de seguridad. Este simplemente no es el caso: si su política de DMARC está configurada en ‘‘none,’, es posible que se le falsifique con la misma facilidad que si no tuviera ningún registro de DMARC.
Mito # 9 DMARC es un proceso manual que consume mucho tiempo y que demorará meses en completarse.
Las empresas suelen suspender sus proyectos DMARC por dos razones:
- Cambiar manualmente los registros de autenticación en el DNS puede llevar mucho tiempo, especialmente si tiene que pasar por el control de cambios cada vez. Aplanar y mantener el FPS a mano puede resultar difícil y llevar mucho tiempo, sin garantía de éxito.
- No estar seguro de si todo el correo legítimo ha sido reconocido y autenticado y no será puesto en cuarentena ni rechazado por una política de DMARC.
Mito # 10: Implementar DMARC por mi cuenta es simple.
DMARC es, de hecho, un estándar público gratuito que cualquiera puede usar. Todos los días, Red Sift examina millones de registros de DMARC y descubre que la mayoría de los proyectos de bricolaje de DMARC permanecen en p=none y nunca lograr la aplicación de DMARC. Como resultado, estas empresas son vulnerables a la suplantación de identidad, la suplantación de identidad y los ataques de phishing.
Mito # 11: Nunca podré comprender los desconcertantes informes XML de DMARC.
¡No debería sorprender que los informes de DMARC no estén destinados a ser leídos por humanos! Para dar sentido a los informes de DMARC, deberá analizarlos de alguna manera y luego agregar informes, alertas e interpretación.
Mito # 12: La información personal está contenida en los datos forenses de DMARC.
Los informes forenses de DMARC pueden ayudar a solucionar problemas de autenticación con flujos de correo genuinos, así como a identificar orígenes de correo electrónico maliciosos.
Mito #13: No hay mucha distinción entre los proveedores de DMARC.
Muchas empresas pueden procesar informes DMARC en nombre de un dominio en una interfaz GUI, lo que hace que el monitoreo y la visibilidad de DMARC sean una mercancía en estos días. Un procedimiento repetible, seguro, fácil y eficiente para llevar un dominio a la aplicación de DMARC utilizando las tecnologías más nuevas en autenticación de correo electrónico alojado y canales de datos privados, no es una mercancía.
Mito # 14: SPF es imposible de administrar y mantener actualizado
En el mundo actual de los servicios de correo electrónico en la nube, administrar manualmente y mantener actualizado un registro SPF es, sin duda,una tarea. Sin embargo, tener el equipo correcto a mano lo hace mucho más fácil. El proceso se puede hacer mucho más fácil al:
- Todas las fuentes de correo electrónico están debidamente identificadas y reconocibles, por lo que los usuarios nunca tienen que preocuparse por perderse un servicio de correo electrónico válido, y todas las fuentes están claramente etiquetadas y reconocibles con nuestra inteligencia de remitente única.
Las fuentes autorizadas se pueden validar con un clic mediante el aplanamiento de SPF una vez que se han descubierto los remitentes. Los servicios que ya no se utilizan se pueden desinstalar y el registro se puede controlar convenientemente en el futuro. - Con SPF dinámico, el registro SPF se aplana dinámicamente y siempre es sintácticamente preciso, evitando la restricción de búsqueda SPF 10.
Mito # 15: Si tengo más de 10 búsquedas SPF, no afectará mi flujo de correo.
Si bien la mayoría de las puertas de enlace de correo electrónico actuales usan DMARC para la autenticación de correo electrónico, todavía hay algunos sistemas heredados que usan SPF como el factor principal para el filtrado de correo.
Cuando un buzón receptor ejecuta una verificación SPF, exceder el límite de búsqueda de 10 indica que su registro está técnicamente roto. Además, si su registro DMARC está en cumplimiento (cuarentena o rechazo), corre el riesgo de prohibir el correo de remitentes que no usan DKIM. Si su correo electrónico real se autentica correctamente con SPF y DKIM, y el registro SPF no tiene más de 10 búsquedas, tendrá más posibilidades de ser entregado.
Mito # 16: La protección DMARC ya ha sido ‘ activada.’
Una política de DMARC de ‘none‘ y un registro DMARC en el momento de la ejecución son muy diferentes. El simple hecho de’ habilitar ‘DMARC con una política de’ ninguno ‘ es un primer paso necesario, pero no hace nada para mejorar su postura de seguridad o evitar que su dominio sea suplantado (¡no hay premios por simplemente aparecer de esta manera!).
Debe cumplir con una política de cuarentena o rechazo en un pct = 100 para finalizar su viaje DMARC. De lo contrario, dejará su dominio vulnerable a ataques de suplantación de identidad y phishing.
Mito # 17: Mi configuración de DMARC será demasiado complicada porque tengo muchos dominios que proteger.
No debe desanimarse de lanzar un proyecto DMARC porque tiene una gran cartera de dominios. En realidad, tener más dominios desprotegidos lo convierte en un objetivo fácil si no usa DMARC para hacer cumplir la ley, por lo que ignorar el problema porque tiene muchos dominios no es la solución. Buscar un dominio
Mito # 18: DMARC es extremadamente caro
En Skysnag, nos esforzamos por automatizar tanto como sea posible, permitiendo a nuestros clientes beneficiarse de nuestras eficiencias y economías de escala.
Cree una cuenta de Skysnag para generar su registro DMARC.
Mito #19: Debido a que no envío correos electrónicos desde mi propio dominio, no requiero protección DMARC.
Los dominios que no envían pueden falsificarse al igual que los dominios de envío, y son más atractivos como objetivos de correo electrónico de suplantación de identidad y suplantación de identidad si utilizan marcas, sitios web, personas y empresas conocidas. Es posible que los destinatarios de correo electrónico malicioso de un dominio que no envía no descubran ni comprendan que from el dominio no está configurado para enviar correo electrónico; si el correo electrónico es lo suficientemente convincente y parece legítimo, pueden creer erróneamente que proviene de usted, poniendo en riesgo toda su marca y reputación.
Pensamientos finales
Eso concluye la lista de todos los mitos de DMARC que han sido completamente refutados. Pero no solo confíe en nuestra palabra; el DMARC automatizado de Skysnag fortalece la protección contra el phishing y la suplantación de identidad al confirmar que un mensaje de correo electrónico proviene del dominio del que dice provenir. Skysnag genera informes DMARC que ayudan a investigar posibles problemas de seguridad e identificar riesgos potenciales de ataques de suplantación. Comienza con Skysnag y regístrate usando este enlace.
You might be interested in reading:
Compruebe el cumplimiento de la seguridad DMARC de su dominio
Implemente DMARC, SPF y DKIM en días - no en meses
Skysnag ayuda a los ingenieros ocupados a implementar DMARC, responde a cualquier configuración incorrecta de SPF o DKIM, lo que aumenta la entregabilidad del correo electrónico y elimina la suplantación de correo electrónico y la suplantación de identidad.