Guía para la Configuración de Servidores de Correo

Introducción a DomainKeys

DomainKeys es un protocolo de autenticación de correo electrónico en desuso desarrollado por Yahoo. Fue creado para verificar la integridad del mensaje.del nombre de dominio de cualquier remitente dado.

DomainKeys fue reemplazado por el método de autenticación de correo electrónico DomainKeys Identified Mail (DKIM). Aunque este estándar es reemplazado, muchos servidores de correo (antiguos y nuevos) todavía usan este estándar, y si tiene la opción, debe implementarlo.

Published Standard: RFC 4870

https://www.ietf.org/rfc/rfc4870.txt to find more details about Published Standard: RFC 4870

¿Cómo funcionan los DomainKeys?

Para entender mejor cómo funcionan las DomainKeys, echa un vistazo a este ejemplo de una DomainKey a continuación:

{
  "Status": 0,
  "TC": false,
  "RD": true,
  "RA": true,
  "AD": true,
  "CD": false,
  "Question": [
    {
      "name": "zb._domainkey.zerobounce.net.",
      "type": 16
    }
  ],
  "Answer": [
    {
      "name": "zb._domainkey.zerobounce.net.",
      "type": 16,
      "TTL": 299,
      "data": "\"v=DKIM1"; "k=rsa";
      "p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAjxHiM+LhOfpCTgqZCnmZgX8S0766oDeOx2XkVJqqxMQgCp4CNqzGBLMk/wc2wwWYAsSI5tSW6vSTigkYwA2Y73Ufhc4c1GGpp8oN/d+OJqTNHIqJO4fk7RvTryJbfG8IxFNKefTMMVdcVZcElqGNiflpC5PgbJmk9cNMVcAxiBgYNmg8ofmjIHX8MvbMr3tN/A2XRacZtpvlukrHwJYnRzb1gK7W0l/7QEh/Ad8uIQa/fSaf9oWWnEk7caA7aKRMln/heayxP42XfXMfsBGXGN8ZkrPtevXkmECl21LYKwP+rlEtxS55vK5cgJjtFPI2ooAxRfkQlh1W9CediWXEzwIDAQAB"
    }
  ],
  "Comment": "Response from 162.159.0.218."
}     

Como puede ver en nuestro registro, la clave pública comienza con “p=” nuestro método de cifrado se denota con “k=”. Suponiendo que su software de correo electrónico esté habilitado para DomainKey, su clave privada se utiliza para generar una firma digital. Ésta se incluye en las cabeceras de sus correos electrónicos. Para que su correo electrónico sea entregado a la bandeja de entrada del destinatario, la clave pública y la firma digital deben coincidir.

¿Qué es un registro de política DomainKeys?

Cuando utiliza DomainKeys, puede publicar declaraciones de política en DNS que ayudan a los receptores de correo electrónico a entender cómo deben tratar su correo electrónico. Hay tres declaraciones principales que pueden publicarse:

"t=y" - Which means that your email DomainKeys are in test mode.
"o=-" - All email from your domain is digitally signed.
"o=~" - Some email from your domain is digitally signed.
"n=*" - n stands for notes. Replace the * symbol, with any note you like

Cómo configurar un Registro de Políticas de DomainKeys

Para configurar su DomainKey, tendrá que habilitar esto a través de su software de correo electrónico. Esta función suele estar incorporada, pero para habilitarla como se ha descrito anteriormente, tendrá que hacer el trabajo de campo. Tenga en cuenta: si su software de correo electrónico carece de esta función, puede ser el momento de cambiar a uno nuevo.

Si su software de correo electrónico requiere que las Claves RSA se generen por separado, añada la clave privada a sí mismo y la clave pública a su DNS.

¿Cómo puedo consultar mis registros DomainKeys?

Puede comprobar sus DNS, de forma gratuita, utilizando la herramienta DNS de Google: Google Public DNS Herramienta: https://dns.google.com/ para encontrar más detalles sobre la herramienta de DNS público de Google

Los servidores de correo utilizan dos métodos diferentes al determinar el SPF y el DKIM: estricto y relajado. En el ejemplo siguiente, verá que la dirección FROM utiliza zerobounce.net como dominio. Esto se compara con "return-path (enveloped-sender)" para SPF o la etiqueta "d=" en la firma del dominio para DKIM.

¿Qué son las Prácticas de Firma del Dominio del Autor (ADSP)? (HISTÓRICO)

¿Qué es el ADSP?

Prácticas de firma de dominio del autor (Author Domain Signing Practices/ADSP), es una extensión opcional utilizada en la autenticación DKIM. ADSP se desarrolló para evitar que un remitente malicioso pase por el autor legítimo de un correo electrónico.

ADSP fue aprobado como un estándar RFC 5617 en agosto de 2009, pero fue declarado "Histórico" en noviembre de 2013.

Actualmente, hay tres posibles prácticas de firma salientes:

Si el registro está configurado con "todos" o "desechable", entonces el campo FROM debe proceder de sus servidores de correo. Si utiliza algo como Gmail o Outlook para enviar correo, entonces su política DKIM de ASDP estará configurada como "desconocida".

Entonces, ¿cuál es la diferencia entre "todos" y "desechable"? Si la política está marcada como "todos", entonces el servidor de correo receptor podría tratar el correo electrónico como sospechoso, y asignar una calificación de spam más alta. Si el registro está marcado como "desechable", el servidor de correo electrónico receptor descartará el mensaje si no está firmado correctamente por el dominio.

Cómo configurar una política ADSP

1. Configure su DKIM: Cómo configurar su firma DKIM.
2. Publique un tipo de registro de recursos TXT de DNS para su dominio con el siguiente formato:

_adsp._domainkey.{subdomain}.domain.example Si su correo electrónico de dominio tiene correos electrónicos de subdominio, simplemente reemplazará el {subdomain} .

• Por ejemplo, "user@blogs.domain.com" tendría una clave como la siguiente: _adsp._domainkey.blogs.domain.com
• Pero, lo más habitual es que la mayoría de los propietarios de dominios tengan correos electrónicos como "users@domain.com" y que tengan este aspecto: _adsp._domainkey.domain.com

Dependiendo de la política que desee aplicar, puede establecer el registro como "dkim=todos", "dkim=desechable", or"dkim=desconocido".

¿Qué son los registros PTR?

La búsqueda inversa de DNS, o la resolución inversa de DNS (rDNS) se conocen más comúnmente como registros PTR. Esencialmente, asignan una dirección IP a un dominio/host. Es el reverso del registro A en IPv4 y del registro AAAA en IPv6.

Entonces, si son como los registros A (pero al revés) ¿por qué son importantes? Los registros PTR son utilizados por los filtros de SPAM. Por lo general, los spammers envían correos electrónicos con nombres de dominio falsificados. Sin embargo, puede que no tengan el registro PTR correcto configurado en el DNS. Si este es el caso, los correos electrónicos están bloqueados para que no los reciba el destinatario previsto.

Por qué debe evitar el uso de registros PTR genéricos

Los PTR genéricos son registros utilizados por la mayoría de las empresas de alojamiento. Utilizan lo que parece ser una cadena aleatoria, una secuencia alfanumérica o un patrón repetitivo. Algo parecido a 123-123-123-123.your.isp.com.

Muchos filtros de spam buscarán su registro PTR para determinar si coincide con una de las muchas cadenas genéricas conocidas. Si usted no ha configurado su registro PTR y se basa en el proporcionado por su empresa de alojamiento, corre el riesgo de ser marcado por el filtro de spam. Para evitarlo, su registro PTR debe ser único y generalmente tomar la forma de "mail.dominio.com".

Tenga en cuenta que sólo sus servidores de correo saliente o la última dirección IP de envío (LSIP) deben tener un registro PTR rDNS. Sin embargo, le recomendamos que configure un registro PTR para todos los registros MX y las IP que tenga.

¿Qué es la LSIP

La ultima dirección IP de envío (LSIP) se refiere a la última dirección IP para "manejar" y envía su correo electrónico hacia su destinatario previsto. Es importante que configure un registro rDNS para este dominio, y que esta IP sea la misma que se utiliza en la comprobación de ID de remitente y e SPF.

¿Cómo configurar mi registro PTR único?

En primer lugar, tendrá que ponerse en contacto con su ISP para que configure su registro PTR. Esto es algo que harán de forma gratuita, pero tendrá que iniciar la solicitud. En segundo lugar, si el dominio de su servidor es similar a mail.exampledomain.com, tendrá que solicitar a su ISP que configure el registro rPTR. Para ello, tendrá que proporcionarles la dirección IP de su servidor.

Comprobador de registros PTR

Puede comprobar si su servidor de correo tiene un registro PTR configurado, utilizando nuestra herramienta de búsqueda: Herramienta de búsqueda de registros PTR

Cómo añadir un Sender ID (HISTÓRICO)

Sender ID, también conocido como SPF2.0 (histórico), se creó originalmente para ampliar el protocolo SPF original. La intención era proporcionar una protección superior contra el phishing y la suplantación de dominios mediante la verificación de los remitentes de correo electrónico. Actualmente, Microsoft posee las patentes de varios componentes de Sender ID, y todavía lo utiliza en su Exchange Server.

Sender ID Standard: RFC 4406 and RFC 4407

https://www.ietf.org/rfc/rfc4406.txt para encontrar más detalles sobre el Estandar Sender ID: RFC 4406 and RFC 4407
https://www.ietf.org/rfc/rfc4407.txt para encontrar más detalles sobre el Estandar Sender ID: RFC 4406 and RFC 4407

La mayoría de los correos electrónicos no deseados o maliciosos contienen cabeceras que fueron modificadas para ocultar su identidad/punto de origen. El SPF y el Sender ID son casi idénticos en su sintaxis. En lo que difieren es en cómo el servidor de correo receptor busca el registro de autenticación del mensaje. El registro de autenticación es una línea de código implantada en su DNS, que aparece en las cabeceras de sus mensajes de correo electrónico.

El SPF examina el dominio desde la dirección de ruta de retorno del sobre (5321-FROM), normalmente llamada dirección de rebote. Sender ID examina la dirección supuestamente responsable (PRA), conocida como 5322-FROM, es decir, la dirección del remitente visible en el mensaje. Por lo tanto, Sender ID proporciona una mejor protección contra las estafas de phishing y suplantación de dominios que hemos mencionado anteriormente.

Sender ID es casi idéntico al SPF, salvo que v=spf1 se sustituye por uno de los siguientes:

¿Cómo funciona Sender ID?

• Usted envía un mensaje de correo electrónico.
• El servidor de correo electrónico del destinatario recibe su mensaje.
• El servidor de correo electrónico del destinatario comprueba el registro SPF del dominio remitente y determina que coincide.
• Si la dirección IP y el registro SPF del servidor remitente coinciden, el correo se entrega.