SPF para la protección del correo

SPF(Sender Policy Framework) – Una herramienta para determinar qué servidores están autorizados a enviar correo en nombre de nuestro dominio. Es decir, la entrada para el dominio ejemplo.com especificará qué hacer con los mensajes de cualquier persona en @ejemplo.com. Te permite rechazar un mensaje o simplemente marcarlo y notificarte de un posible intento de suplantación de ese dominio.

Comprobación del FPS

Una regla sencilla para comprobar el SPF es consultar al servidor DNS el registro txt del dominio de la dirección de correo electrónico (por ejemplo, info@roan24.pl es el dominio roan24.pl). Así que „dig roan24.pl txt” nos devolverá: „v=spf1 a mx ip4:178.33.3.224 -all” es decir, el dominio tiene una entrada spf versión 1 (v=spf1), y desde el dominio dado sólo puede enviar correo desde direcciones ip que estén en la entrada A (a), MX (mx), o tiene una ip versión 4 178.33.3.224 (ip4:178.33.3.224). En cuanto a las entradas a y mx, puedes leer cómo funcionan en nuestro artículo sobre los fundamentos del DNS.
A continuación, sólo queda comprobar qué hacer con el mensaje, es decir, la entrada „all”, la más utilizada es „~all”, que significa aceptar pero marcar la posibilidad de fraude, o „-all”, si el servidor remitente no está en la lista SPF, entonces rechaza el mensaje sin más comprobaciones.

Cómo introducir el FPS

En el sitio web de openspf se puede encontrar una descripción detallada de toda la sintaxis, pero en la versión en inglés. Sin embargo, voy a describir aquí, espero que sea comprensible, qué sintaxis utilizar para introducir el SPF en nuestro dominio.
Así que sí, siempre usaremos v=spf1 al principio, ya que aquí describiré la versión uno de spf (no hay versión dos por ahora). Así que tenemos una entrada:
v=spf1
Esta entrada no nos dice nada todavía, vamos a añadirle una etiqueta all – significa cómo debemos tratar el mensaje que estamos comprobando spf. Y así podemos precederlo con cuatro signos „+” que significa que está bien, „-” que no pasó, „~” que es sospechoso, „?” neutral.
Por lo tanto, si la entrada parece „+all” y el host emisor no está en la lista, debemos aceptar dicho mensaje.
Si es „~all” y el host no está en la lista se supone que debemos aceptar dicho mensaje pero marcarlo como un error de spf, o sospechoso de ser spam.
Si tenemos „-all”, recomendado por mí significa que si el servidor no está en la lista entonces el mensaje de él debe ser rechazado.
La entrada „?all” significa que básicamente no ha pasado nada, esté o no esté – en resumen podría no haber ninguna entrada.
Recomiendo utilizar „~all” si tus direcciones cambian con frecuencia y puedes tener problemas para escribirlas todas, o „-all” si conoces las direcciones exactas de tus servidores y no cambian con demasiada frecuencia.
v=spf1 -all
Con un inicio y un final, ahora introduciremos las direcciones ip o entradas (en el centro de la entrada) en nuestra lista.
A – es decir, el servidor en la entrada a puede enviar correo. NOTA Si utiliza un proxy o cdn (por ejemplo, cloudflare), no debe introducir esto, ya que su servidor de correo no debe estar autorizado a enviar correo en su nombre.
MX – Cabe destacar aquí que si se cambia la dirección del servidor en la entrada MX, ya no es necesario cambiar la entrada SPF, lo que facilita el trabajo, a veces puede ocurrir que utilicemos una puerta de enlace para recibir el correo y esta entrada no debe utilizarse.
ip4 – es decir, una dirección ip o dirección ip/máscara (por ejemplo, 192.168.0.0/24 es – 192.168.0.0 a 192.168.0.255) significa las direcciones ip específicas de la versión cuatro que están autorizadas a enviar correo.
ip6 – según el mismo principio que las direcciones ip4, pero sólo se refiere a las direcciones de la versión 6.
También hay entradas adicionales como „include” y „redirect”, include incluye entradas del dominio especificado (buscando en el txt) y redirect redirige a otro dominio donde podemos encontrar instrucciones SPF en la entrada txt.
Además, crear una entrada SPF no es difícil incluso para los proveedores de correo más grandes y es recomendable, sólo recuerda que tienes que actualizarla cuando cambies la dirección ip del servidor de correo y no se añade por MX. En el caso de los dominios pequeños, se recomienda utilizar entradas cortas a las que sólo se añada la entrada mx, por ejemplo. es suficiente para todos nuestros clientes:
v=spf1 mx ip4:178.33.3.224 -all

Resumen

El SPF no es ideal para asegurar nuestro correo, pero es bastante fácil de introducir y, con un formato adecuado, puede reducir significativamente el phishing relacionado con la suplantación de nuestro dominio de correo.