Información sobre la autenticación del correo electrónico
Qué aprenderás
Infórmate sobre los protocolos de autenticación de correo electrónico que se utilizan para construir tu reputación como remitente, validar los correos electrónicos que provienen de un remitente legítimo y protegerte contra el abuso del correo electrónico.
La mayoría de los proveedores de bandeja de entrada aplican requisitos de remitente para las plataformas de envío masivo. Configurar la autenticación DMARC es una parte clave para cumplir esos requisitos, especialmente para los remitentes de gran volumen. Como referencia, Google considera «plataforma de envío masivo» a cualquiera que envíe 5000 o más emails al día a destinatarios de Gmail.
Acerca de la autenticación de correo electrónico
La «autenticación de correo electrónico» se refiere a las normas técnicas que permiten la verificación de la identidad de un remitente de correo electrónico. Los estándares de autenticación de correo electrónico más utilizados son SPF, DKIM y DMARC. Los servidores de correo utilizan estos protocolos de autenticación para verificar que los correos electrónicos entrantes provengan de remitentes legítimos, protegiendo tu marca y a tus clientes de actores maliciosos. Además de prevenir los intentos de phishing y suplantación de identidad, la implementación de estos protocolos puede ayudar a mejorar la capacidad de entrega, ya que los proveedores de servicios de correo electrónico podrán confirmar la identidad del remitente.
SPF
El marco de políticas de remitente (SPF, por sus siglas en inglés) es un método de autenticación de correo electrónico diseñado para detectar direcciones de remitente falsificadas durante la entrega del correo electrónico. SPF permite al servidor de correo receptor verificar que los correos electrónicos procedentes de un dominio específico se hayan enviado a través de una dirección IP autorizada por los administradores de ese dominio.
Cuando se envía un correo electrónico desde una dirección IP que no se ha permitido a través de SPF, el servidor de correo receptor puede rechazar el correo electrónico o desviarlo de la bandeja de entrada principal. Sin los registros SPF no podrías autenticar las IP usando tu dominio de envío, lo que permite a los actores maliciosos hacerse pasar fácilmente por tu marca.
En el dominio de envío compartido de Klaviyo, los emails se autentican automáticamente mediante SPF. Si utilizas tu propio dominio de envío de marca en Klaviyo, el registro SPF necesario se añade automáticamente mediante los registros CNAME o NS que se añaden durante la configuración.
DKIM
DomainKeys Identified Mail (DKIM) actúa como una firma digital que se añade al encabezado de un email para verificar aún más la identidad del remitente. Los servidores de recepción de email verifican la firma mediante una clave pública publicada para el dominio de firma. DKIM puede seguir siendo válido cuando se reenvía un email, siempre que el contenido firmado no se cambie de una forma que invalide la firma.
En el dominio de envío compartido de Klaviyo, los email se autentican automáticamente mediante DKIM. Si estás usando tu propio dominio de envío de marca en Klaviyo, el registro DKIM necesario se añade automáticamente mediante los registros CNAME o NS añadidos durante la configuración.
DMARC
DMARC son las siglas de domain-based message authentication, reporting, and compliance (autenticación de mensajes basada en dominios, informes y conformidad). Es un protocolo que utiliza SPF y DKIM para determinar la autenticidad de un correo electrónico, lo que otorga a los propietarios de dominios la capacidad de proteger su dominio de un uso no autorizado.
DMARC proporciona instrucciones a los servidores receptores sobre cómo gestionar el correo entrante. Para superar DMARC, un mensaje debe superar la autenticación SPF o DKIM, y el dominio autenticado por ese método debe estar alineado con el dominio en la dirección del remitente. No es necesario superar ambos métodos para DMARC, aunque los proveedores de bandeja de entrada pueden exigirte que configures tanto SPF como DKIM. Los mensajes que no superen las comprobaciones de DMARC pueden permitirse, rechazarse o enviarse a la carpeta de spam, según la política del dominio y las reglas del servidor receptor.
Implementar una política DMARC en tu dominio puede ayudarte a evitar la suplantación de identidad, lo que limita la exposición de tu marca y de los destinatarios a mensajes potencialmente fraudulentos y dañinos.
Ejemplo de política DMARC
DMARC es un protocolo de autenticación, política y elaboración de informes de correo electrónico que afecta a cualquier envío de correo electrónico de tu marca, más allá de Klaviyo. Ten en cuenta que es importante que trabajes con tu equipo de TI o con un profesional externo para implementar una política DMARC que se adapte mejor a las necesidades de tu marca.
A continuación, se muestra un ejemplo de cómo puede ser un registro DMARC simple y cómo diferentes registros afectan a la entrega de correos electrónicos.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourbrand.com
Es común que la etiqueta sp se omita en un registro DMARC, en cuyo caso la etiqueta sp toma por defecto el valor de la etiqueta p.
Si bien las políticas DMARC pueden tener varias etiquetas con diferentes funciones, las etiquetas de políticas p y sp son las más importantes en lo que respecta a Klaviyo y tu marketing por correo electrónico.
Los valores de estas 2 etiquetas indican a los proveedores de bandeja de entrada cómo deben reaccionar cuando fallan las comprobaciones de alineación. Cuando se usa en direcciones de email del remitente, la etiqueta p se aplica al dominio raíz (p. ej., @yourbrand.com) mientras que la etiqueta sp se aplica a los subdominios (p. ej.,@shop.yourbrand.com). Si un subdominio tiene su propio registro DMARC, la política de ese registro tiene prioridad para el correo enviado desde ese subdominio.
Mientras tanto, la etiqueta rua del ejemplo determina a qué bandeja de entrada se enviarán los informes DMARC. Se recomienda esta etiqueta, pero no es obligatoria.
Asegúrate de cambiar la dirección de email de marcador de posición anterior (es decir, dmarc-reports@yourbrand.com) por una bandeja de entrada preparada para recibir informes de DMARC si tienes pensado usar la etiqueta rua.
Valor de la etiqueta p/sp | Gestión solicitada de email que no supera DMARC |
p=ninguno | No solicitar ninguna acción basada en un fallo de DMARC. El resto del filtrado de spam sigue aplicándose. |
p=cuarentena | Solicita que el email se trate como sospechoso, por ejemplo, colocándolo en la carpeta de spam. |
p=rechazar | Solicita que se rechace el email. |
Una política DMARC se coloca como un registro TXT en el panel de control DNS de un dominio, pero debe seguir reglas de sintaxis específicas.
Cómo las etiquetas p y sp afectan al envío en Klaviyo
Al enviar desde un dominio de envío compartido, el dominio de la dirección del remitente (p. ej., marketing@yourbrand.com) no se alinea con el dominio de envío de Klaviyo (p. ej., ksdn.klaviyomail.com). DMARC usa la política del dominio de la dirección del remitente. Una política en el dominio compartido de Klaviyo no invalida la política de tu marca ni hace que tus emails superen DMARC.
Un dominio de envío de marca te permite alinear el dominio utilizado para la autenticación DKIM con el dominio de la dirección del remitente. DMARC se aprueba cuando la autenticación DKIM se realiza correctamente y ese dominio se alinea con la dirección del remitente. Con la configuración predeterminada de alineación relajada, los dominios pueden compartir un dominio raíz. La alineación estricta requiere una coincidencia exacta del dominio.
Etiquetas rua y elaboración de informes DMARC
La etiqueta rua de un registro DMARC permite que la dirección de correo electrónico asociada reciba informes DMARC en .xml formato. Estos informes son difíciles y tediosos de interpretar, por lo que Klaviyo recomienda trabajar con un proveedor de servicios DMARC si tienes previsto utilizar la etiqueta rua para la elaboración de informes DMARC. Estos proveedores ayudan a procesar el archivo .xml Informes DMARC y preséntalos para que tu marca pueda recopilar detalles clave más fácilmente.
Para recibir informes de DMARC en una dirección de un dominio raíz diferente, el propietario del dominio que recibe los informes debe autorizarlos con un registro TXT en el DNS de ese dominio. Sigue las instrucciones del proveedor de servicios de DMARC para esta autorización y configura la dirección de elaboración de informes en la etiqueta rua de tu propio registro DMARC.
Ejemplo de informe DMARC
Estos son algunos ejemplos de proveedores de DMARC que recomienda Klaviyo:
Configurando la autenticación de correo electrónico
Al enviar correos electrónicos con Klaviyo, no necesitas añadir tus propios registros SPF y DKIM. Si envías mensajes en el dominio de envío compartido de Klaviyo, ya se han configurado los registros necesarios para aprobar la autenticación. Con un dominio de envío de marca (también conocido como dominio de envío exclusivo), los registros NS o CNAME de Klaviyo añadidos durante la configuración habilitan automáticamente la autenticación DKIM y SPF.
DMARC requiere un registro TXT independiente en el DNS del dominio. Durante la configuración del dominio de envío de marca, Klaviyo ofrece Añadir registro DMARC si el dominio aún no tiene un registro DMARC. Esto genera v=DMARC1; p=none. Puedes publicar los registros automáticamente con Conectar con Entri para proveedores de DNS compatibles, o elegir Configurar manualmente y añadirlos en el proveedor de DNS.
Si tu marca actualmente no tiene una política de DMARC, configurar p=none es el primer paso para cumplir los requisitos de los proveedores de bandeja de entrada. Cumple el requisito de la política de DMARC, pero aún debes cumplir los demás requisitos del proveedor para los remitentes. Puedes recibir informes DMARC con p=none añadiendo una etiqueta rua. Klaviyo recomienda trabajar con el equipo de TI o con un profesional externo antes de pasar a una política más estricta para protegerse contra la suplantación de identidad.
Tú o alguien de tu equipo debe tener acceso a la configuración de DNS del dominio para publicar el registro, incluso al autorizar la configuración automática a través de Entri. Elige la política con el equipo de TI o con un proveedor de servicios de DMARC, porque también afecta al correo enviado desde el dominio fuera de Klaviyo.
Configurando DMARC en tus DNS
Para añadir un registro DMARC manualmente, usa la configuración de tu proveedor de DNS. Los pasos siguientes describen el proceso general; los nombres de los campos y las instrucciones varían según el proveedor.
- Inicia sesión en la configuración de DNS del dominio y comprueba si ya existe un registro TXT en
_dmarc.yourbrand.com(sustituyeyourbrand.compor tu dominio). Si ya existe un registro DMARC, revísalo con el equipo de TI o el proveedor de servicios DMARC, en lugar de añadir un segundo registro o sustituir su política porp=none. - Si no existe ningún registro DMARC, crea un nuevo registro con la siguiente información:
- Tipo: TXT
- Host: _dmarc
- Valor: v=DMARC1; p=none
La etiqueta rua es opcional y se utiliza para la elaboración de informes de DMARC. Para recibir informes, usa v=DMARC1; p=none; rua=mailto:email@yourbrand.com. Sustituye email@yourbrand.com por una bandeja de entrada preparada para recibir los informes.
- Guarda el registro en tu proveedor de DNS. Una vez que se haya propagado el cambio de DNS, verifica el registro y comprueba los resultados de autenticación de un email enviado, tal como se describe en Verificación de la configuración de autenticación de email.
Los nombres de los campos, interfaces y procesos para crear un nuevo registro pueden variar según el proveedor de DNS. Algunos ejemplos de proveedores de DNS incluyen GoDaddy y Namecheap, pero hay muchos otros.
Para obtener más instrucciones sobre cómo configurar DMARC para tu dominio, te recomendamos los siguientes recursos y servicios, o bien ponerte en contacto con tu proveedor de DNS.
- Descubre cómo DMARC protege la reputación de tu dominio
- MXToolBox: Cómo configurar DMARC
- DMARCian: Introducción a DMARC
- Valimail
Hacer que tus correos electrónicos de Klaviyo cumplan con DMARC
Para que tus Klaviyo Email cumplan con DMARC, configura y activa un dominio de envío de marca que comparta el dominio raíz en la dirección de email del remitente (es decir, la dirección del remitente) y publica un registro DMARC para tu dominio. Por ejemplo, si envías un email usando sales@yourbrand.com como dirección del remitente y yourbrand.com está protegido por DMARC, tu cuenta deberá usar un dominio de envío de marca como send.yourbrand.com para cumplir los requisitos de DMARC.
Descubre cómo actualizar tu dirección de email de remitente para alinearla con tu dominio de envío de marca.
Destinatarios internos
Al usar un dominio compartido para enviar emails a destinatarios internos, es posible que los proveedores de bandeja de entrada muestren un mensaje de advertencia y coloquen los emails en spam cuando la dirección de email del destinatario usa el mismo dominio que la dirección del remitente.
Por ejemplo, en Gmail:
Esta advertencia para destinatarios internos se aplica a los destinatarios cuyas direcciones de email utilizan el dominio de la dirección del remitente. Un dominio de envío de marca alineado puede ayudar a resolver advertencias relacionadas con la autenticación, pero no garantiza la ubicación en la bandeja de entrada.
Si ves una advertencia en una bandeja de entrada personal, revisa los encabezados del email para comprobar si DMARC está fallando. Si lo está, asegúrate de que el dominio de envío de marca esté activo y coincida con el dominio de la dirección email del remitente (es decir, la dirección del remitente).
Verificar la configuración de autenticación de correo electrónico
Para comprobar que el registro se ha publicado correctamente, introduce el dominio de la dirección del remitente en el verificador de DMARC que ofrece EasyDMARC. Comprueba que encuentra un registro DMARC válido con la política que querías. Un registro p=none válido cumple el requisito de la política DMARC, pero una búsqueda de DNS por sí sola no verifica que tus email superen DMARC ni que cumplan todos los requisitos de remitente de los proveedores de bandeja de entrada. EasyDMARC muestra el estado Advertencia para p=none porque no es una política de aplicación. Eso es normal y aun así cumple el requisito de la política DMARC.
Después de comprobar el registro DNS, verifica la autenticación usando el encabezado de un email enviado por tu marca.
Un encabezado de correo electrónico contiene metadatos sobre un correo electrónico y la ruta de red que ha seguido. Esto incluye información como la dirección del remitente, el asunto, el destinatario y los detalles de autenticación clave, como si SPF, DKIM y DMARC están pasando.
Descubre cómo verificar las configuraciones de autenticación de email mediante encabezados de email.
Pasar a una política DMARC más segura
Aunque una política DMARC de p=none cumple el requisito de política DMARC, pasar a una política más segura puede proteger mejor tu empresa de actores malintencionados.
Ventajas de contar con políticas más seguras
El principal beneficio de usar p=quarantine o p=reject es que piden a los proveedores de bandeja de entrada que mantengan los mensajes que no superan DMARC fuera de las bandejas de entrada principales de los destinatarios. p=none no solicita ninguna acción basada en un error de DMARC, por lo que los destinatarios pueden seguir recibiendo emails de un actor malicioso que intenta suplantar tu marca. Si un usuario ve un email falsificado que parece haberse enviado desde tu marca, esto puede dañar la confianza en el email de tu marca.
Una política de p=quarantine solicita a los proveedores que traten los emails que no superan la validación como sospechosos, por ejemplo, colocándolos en spam. Una política de p=reject solicita a los proveedores que los rechacen. El proveedor receptor toma la decisión final de entrega.
Otras consideraciones
Es importante tener en cuenta que DMARC se aplica a cualquier email enviado desde tu marca, incluidos los enviados fuera de Klaviyo. Con una política de p=none, no se solicita ninguna acción únicamente porque un email no supere DMARC, pero se sigue aplicando el resto del filtrado de spam. Sin embargo, las políticas de DMARC más estrictas pueden hacer que los emails no se entreguen si los dominios no están alineados en toda la infraestructura y los casos de uso de envío de email de la empresa.
Por esta razón, Klaviyo recomienda trabajar con tu equipo de TI o con un proveedor de servicios DMARC para implementar una política que se adapte mejor a las necesidades de tu marca.
Recursos adicionales
- Cómo configurar un dominio de envío de marca
Descubre cómo configurar un dominio de envío de marca (también conocido como dominio de envío dedicado) para que, cuando los emails lleguen a los proveedores de email, parezca que proceden de tu marca en lugar de Klaviyo.
- Comprender la entregabilidad del email
Obtén más información sobre la capacidad de entrega de email, incluidos los pasos que puedes seguir para establecer una sólida reputación del remitente y conseguir que tus email se entreguen en la bandeja de entrada.
- Comprende los dominios que juegan un papel en la capacidad de entrega del correo electrónico
Descubre los diferentes dominios que intervienen en la entrega de tus correos electrónicos, así como la importancia de la alineación de dominios.