Cómo funciona la autenticación de correo electrónico
Objetivos del artículo
Conoce los protocolos de autenticación de correo electrónico que se utilizan para construir tu reputación de remitente, validar los correos electrónicos que provienen de un remitente legítimo y protegerte contra el abuso del correo electrónico.
La mayoría de los proveedores de bandeja de entrada aplican requisitos de envío para plataformas de envío masivo. Configurar la autenticación DMARC es una parte clave para cumplir con esos requisitos, especialmente para remitentes de alto volumen. Como punto de referencia, Google considera a cualquiera que envíe 5 000 o más correos electrónicos diarios a destinatarios de Gmail como una "plataforma de envío masivo."
Acerca de la autenticación de correo electrónico
La "autenticación de correo electrónico" se refiere a las normas técnicas que permiten verificar la identidad del remitente de un correo electrónico. Los estándares de autenticación de correo electrónico más utilizados son SPF, DKIM y DMARC. Los servidores de correo utilizan estos protocolos de autenticación para verificar que los correos electrónicos entrantes provienen de remitentes legítimos, protegiendo tu marca y a tus clientes de actores maliciosos. Además de prevenir los intentos de phishing y suplantación de identidad, la implementación de estos protocolos puede ayudar a mejorar la capacidad de entrega, ya que los proveedores de buzones de correo podrán confirmar la identidad del remitente.
SPF
Sender Policy Framework (SPF) es un método de autenticación de correo electrónico diseñado para detectar direcciones de remitente falsificadas durante la entrega del correo electrónico. SPF permite que el servidor de correo receptor verifique que los correos electrónicos provenientes de un dominio específico se enviaron a través de una dirección IP autorizada por los administradores de ese dominio.
Cuando se envía un correo electrónico desde una dirección IP que no se ha permitido a través de SPF, el servidor de correo receptor puede rechazar el correo electrónico o desviarlo de la bandeja de entrada principal. Sin los registros SPF no podrías autenticar las IP usando tu dominio de envío, lo que permite que los actores maliciosos se hagan pasar fácilmente por tu marca.
En el dominio de envío compartido de Klaviyo, los correos electrónicos se autentican automáticamente a través de SPF. Si usas tu propio dominio de envío de marca en Klaviyo, el registro SPF necesario se agrega automáticamente a través de los registros CNAME o NS agregados durante la configuración.
DKIM
DomainKeys Identified Mail (DKIM) actúa como una firma digital que se añade al encabezado de un correo electrónico para verificar aún más la identidad del remitente. Los servidores de correo electrónico de recepción verificarán que la firma DKIM coincida con la del dominio de envío asociado. Dado que la firma DKIM existe en el encabezado de un correo electrónico, también permanecerá cuando se reenvíe un correo electrónico, a diferencia de la autenticación SPF.
En el dominio de envío compartido de Klaviyo, los correos electrónicos se autentican automáticamente a través de DKIM. Si usas tu propio dominio de envío de marca en Klaviyo, el registro DKIM necesario se agrega automáticamente a través de los registros CNAME o NS agregados durante la configuración.
DMARC
DMARC significa autenticación de mensajes basada en el dominio, elaboración de informes y conformidad. Es un protocolo que utiliza SPF y DKIM para determinar la autenticidad de un correo electrónico, lo que les brinda a los propietarios de dominios la capacidad de proteger su dominio del uso no autorizado.
DMARC proporciona instrucciones a los servidores receptores sobre cómo manejar el correo entrante. Para poder entregar los mensajes, es necesario superar las comprobaciones de alineación de DKIM y SPF de acuerdo con los requisitos establecidos por la política DMARC. Los mensajes que no superen las comprobaciones DMARC pueden permitirse, rechazarse o colocarse en la carpeta de spam.
Implementar una política DMARC en tu dominio puede ayudarte a protegerte de la suplantación de identidad, limitando la exposición de tu marca y de los destinatarios a mensajes potencialmente fraudulentos y dañinos.
Ejemplo de política DMARC
DMARC es un protocolo de autenticación, política y elaboración de informes de correos electrónicos que afecta a cualquier correo electrónico que envíes desde tu marca, más allá de Klaviyo. Ten en cuenta que es importante que trabajes con tu equipo de TI o con un profesional externo para implementar una política DMARC que se adapte mejor a las necesidades de tu marca.
A continuación se muestra un ejemplo de cómo puede ser un registro DMARC simple y cómo los diferentes registros afectan la entrega de correos electrónicos.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourbrand.com
Es común que la etiqueta sp se omita en un registro DMARC, en cuyo caso la etiqueta sp se asigna por defecto al valor de la etiqueta p.
Aunque las políticas DMARC pueden tener varias etiquetas con funciones diferentes, las etiquetas de política p y sp son las más importantes en lo que respecta a Klaviyo y tu marketing por correo electrónico.
Los valores de estas dos etiquetas les indican a los proveedores de bandeja de entrada cómo deben reaccionar cuando las comprobaciones de alineación fallan. Cuando se usa en las direcciones de correo electrónico del remitente, la etiqueta p se aplica al dominio raíz (p. ej., @yourbrand.com) mientras que la etiqueta sp se aplica a los subdominios (p. ej.,@shop.yourbrand.com).
Mientras tanto, la etiqueta rua del ejemplo determina a qué bandeja de entrada se enviarán los informes DMARC. Se recomienda esta etiqueta, pero no es obligatoria.
Asegúrate de reemplazar la dirección de correo electrónico de marcador de posición anterior (es decir, dmarc-reports@yourbrand.com) por una bandeja de entrada que esté preparada para recibir reportes de DMARC si planeas usar la etiqueta rua.
Valor de la etiqueta p/sp | Qué hacen los proveedores de bandeja de entrada con los correos electrónicos desalineados |
p = ninguno | Acepta el correo electrónico normalmente, a pesar de la desalineación. |
p = cuarentena | Acepta el correo electrónico, pero muestra una advertencia y coloca el correo electrónico en la carpeta de spam. |
p = rechazar | Bloquea el correo electrónico desalineado. |
Una política DMARC se coloca como registro TXT en el panel de control DNS de un dominio, pero debe seguir reglas de sintaxis específicas.
Cómo las etiquetas p y sp afectan el envío en Klaviyo
Al enviar desde un dominio de envío compartido, los correos electrónicos siempre tendrán una desalineación entre tu dirección de remitente (por ejemplo, marketing@yourbrand.com) y el dominio de envío real del correo electrónico (por ejemplo, ksdn.klaviyomail.com). El dominio de envío compartido de Klaviyo tiene una política DMARC configurada en p=none, para que tus correos electrónicos puedan llegar a las bandejas de entrada de los clientes a pesar de la desalineación.
Cuando utilizas un dominio de envío de marca, un dominio propiedad de tu marca, la dirección del dominio se alinea con el dominio de envío. Como resultado, se aprobarán las comprobaciones DMARC.
Etiquetas RUA e informes DMARC
La etiqueta rua en un registro DMARC permite que la dirección de correo electrónico asociada reciba informes DMARC en formato .xml formato. Estos informes son difíciles y tediosos de interpretar, por lo que Klaviyo te recomienda trabajar con un proveedor de servicios DMARC si planeas utilizar la etiqueta rua para los informes DMARC. Estos proveedores ayudan a procesar el archivo .xml DMARC te informa y te los presenta para que tu marca pueda recopilar información más fácilmente.
El dominio de la dirección de correo electrónico establecida en la etiqueta rua para recibir informes DMARC debe coincidir con el dominio raíz del registro DMARC. Para recibir informes DMARC a través de un dominio diferente, tendrás que añadir un registro TXT proporcionado por el propietario del dominio al dominio raíz de tu marca.
Ejemplo de informe DMARC
Algunos ejemplos de proveedores de DMARC que Klaviyo recomienda son:
Configurando la autenticación de correo electrónico
Al enviar correos electrónicos con Klaviyo, no necesitas añadir tus propios registros SPF y DKIM. Si estás enviando mensajes desde el dominio de envío compartido de Klaviyo, ya se establecieron los registros necesarios para aprobar la autenticación. Con un dominio de envío de marca (también conocido como dominio de envío dedicado), los registros NS o CNAME de Klaviyo añadidos durante la configuración habilitan automáticamente la autenticación DKIM y SPF.
Sin embargo, configurar DMARC es un proceso externo que se realiza fuera de Klaviyo con tu proveedor de DNS. La política DMARC que establezcas determina cómo manejar los mensajes que no pasan la autenticación SPF y DKIM. Las políticas DMARC pueden poner en cuarentena los correos electrónicos no autenticados y enviarlos a la carpeta de spam del destinatario, permitirles llegar a las bandejas de entrada a pesar de la desalineación, o rechazarlos por completo y bloquear la entrega al destinatario.
Si tu marca no tiene actualmente una política DMARC, configurar p=none es un gran primer paso para cumplir con los requisitos del proveedor de bandeja de entrada. Sin embargo, Klaviyo te recomienda encarecidamente que trabajes con tu equipo de TI o con un profesional de terceros si deseas configurar una política DMARC más estricta que evite la suplantación y permita informar sobre fallas de alineación.
Klaviyo no puede implementar DMARC en tu nombre porque el proceso afecta la seguridad de tu marca y los envíos fuera de Klaviyo. Además, la implementación de DMARC requiere que accedas a la configuración DNS de tu marca y que la controles. Klaviyo no puede realizar dichos cambios de DNS para tu marca con el fin de proteger tu seguridad y la propiedad de tu dominio.
Configurando DMARC en tus DNS
La configuración de DMARC es un proceso que realizas fuera de Klaviyo en tu proveedor de DNS. Hay un gran número de proveedores de DNS diferentes, pero los pasos siguientes describen cómo se implementa generalmente DMARC.
Para configurar DMARC, el administrador de tu red para el dominio tendrá que iniciar sesión en la configuración DNS del dominio para añadir un registro DMARC, como el que se muestra a continuación. Una vez que hayas iniciado sesión en tu proveedor de DNS, crea un nuevo registro con la siguiente información.
- Tipo: TXT
- Host: _dmarc
- Valor: v=DMARC1; p=none
La etiqueta rua es una etiqueta opcional que se usa para la elaboración de informes de DMARC. Si planeas usar los informes y quieres recibirlos en una bandeja de entrada, el valor del registro DMARC es: v=DMARC1; p=none; rua=mailto:email@yourbrand.com
Los nombres de los campos, interfaces y procesos para crear un nuevo registro pueden variar según los proveedores de DNS. Algunos ejemplos de proveedores de DNS incluyen GoDaddy y Namecheap, pero hay muchos otros.
Para obtener más instrucciones sobre cómo configurar DMARC para tu dominio, te recomendamos los siguientes recursos y servicios, o ponte en contacto con tu proveedor de DNS.
- Comprende cómo DMARC protege la reputación de tus dominios
- MXToolBox: Cómo configurar DMARC
- DMARCian: Primeros pasos con DMARC
- Correo electrónico
Cómo hacer que tus correos electrónicos de Klaviyo cumplan con DMARC
Para cumplir con DMARC, tienes que conectar un dominio de envío de marca a tu cuenta que coincida con el dominio raíz de tu dirección de correo electrónico de remitente amigable (es decir, tu dirección de remitente). Por ejemplo, si envías un correo electrónico utilizando sales@yourbrand.com como dirección de remitente y tu marca.com está protegida por DMARC, tu cuenta tendrá que utilizar un dominio de envío de marca como send.tumarca.com para cumplir con los requisitos de DMARC.
Descubre cómo actualizar la dirección de correo electrónico del remitente para que coincida con el dominio de envío de marca.
Destinatarios internos
Cuando se utiliza un dominio compartido para enviar correos electrónicos a destinatarios internos, los proveedores de bandeja de entrada pueden mostrar un mensaje de advertencia y colocar correos electrónicos en la carpeta de spam cuando la dirección de correo electrónico del destinatario coincida con la dirección del dominio.
Por ejemplo, en Gmail:
Aunque esto solo afecta a los usuarios con direcciones de correo electrónico que coincidan con la tuya, puedes configurar un dominio de envío de marca para evitarlo.
Si ves esta advertencia para una bandeja de entrada personal que no sea de empresa, es probable que sea el resultado de un error de DMARC. Para cumplir con DMARC, tienes que conectar un dominio de envío de marca a tu cuenta que coincida con el dominio de tu dirección de correo electrónico de remitente (es decir de vuestra dirección).
Verificando la configuración de tu autenticación de correo electrónico
Para verificar que el registro se haya publicado correctamente, puedes ingresar tu dominio en el verificador de DMARC que ofrece EasyDMARC. Con esta herramienta, un estado de Advertencia o Válido cumple con los requisitos de envío de los proveedores de bandeja de entrada.
Como alternativa, puedes verificar que tu autenticación de correo electrónico esté configurada correctamente utilizando el encabezado de un correo electrónico enviado por tu marca.
Un encabezado de correo electrónico contiene metadatos sobre un correo electrónico y la ruta de red que ha tomado. Esto incluye información como la dirección del remitente, el asunto, el destinatario y los detalles de autenticación de la clave, como si se está aprobando SPF, DKIM y DMARC.
Pasando a una política DMARC más segura
Si bien una política DMARC de p=none es suficiente para cumplir con los requisitos iniciales del remitente, cambiar a una política más segura puede proteger mejor su negocio de actores maliciosos.
Ventajas de las políticas más seguras
El principal beneficio de usar p=quarantine o p=reject es que evitarán que los correos electrónicos desalineados (es decir, los correos electrónicos enviados desde un dominio de envío que no coincida con el dominio raíz de tu marca) lleguen a la bandeja de entrada principal de un destinatario. P=none no afecta la colocación en la bandeja de entrada en los casos en que se envía un correo electrónico desde un dominio desalineado, por lo que los destinatarios pueden seguir recibiendo correos electrónicos de un actor malicioso que intenta hacerse pasar por tu marca. Si un usuario termina viendo un correo electrónico falso que parece haber sido enviado desde tu marca, esto puede causar tensión en la confianza que un cliente tiene en el correo electrónico de tu marca.
Mientras tanto, cuando se utiliza una política de p=quarantine o p=reject, los correos electrónicos desalineados se bloquearán o se enviarán a la carpeta de spam para los destinatarios. Los proveedores de bandeja de entrada sabrán que deben evitar mostrarle el correo electrónico al destinatario, y los correos electrónicos falsificados no llegarán a la bandeja de entrada principal.
Otras consideraciones
Es importante tener en cuenta que DMARC se aplica a todos los correos electrónicos enviados desde tu marca, incluidos los que se envían fuera de Klaviyo. Con una política de p=none, tus envíos no se verán afectados, ya que los correos electrónicos seguirán llegando a la bandeja de entrada principal. Sin embargo, las políticas DMARC más estrictas pueden hacer que los correos electrónicos no se entreguen si tus dominios no están alineados en toda la infraestructura de envío de correos electrónicos y los casos de uso de tu empresa.
Por esta razón, Klaviyo te recomienda que trabajes con tu equipo de TI o con un proveedor de servicios DMARC para implementar una política que se adapte mejor a las necesidades de tu marca.