Generador d'SPF i DMARC

Com configurar SPF, DKIM i DMARC pas a pas

Configurar l'autenticació del correu electrònic és una de les mesures de seguretat amb més rendibilitat tècnica: no requereix costos de llicències, s'implanta en poques hores i redueix de manera notable el risc d'atacs de suplantació d'identitat (spoofing), de fraus de factura falsa i d'atacs dirigits del tipus «frau del CEO».

El protocol original del correu electrònic (SMTP) no verifica per si mateix la identitat de qui envia un missatge. Per resoldre aquesta debilitat hi ha tres mecanismes complementaris: SPF (valida quins servidors o IP poden enviar en nom vostre), DKIM (garanteix amb una signatura criptogràfica que el missatge no s'ha manipulat pel camí) i DMARC (estableix la política que han d'aplicar els destinataris davant de correus no autoritzats i us informa dels incidents).

A continuació detallem el procés per implantar-los de manera ordenada, pas a pas i sense risc d'interrompre les vostres comunicacions habituals.

Pas 1: Fer inventari de qui envia correu en nom vostre

L'error més comú en desplegar aquests registres és oblidar serveis legítims i acabar bloquejant els vostres propis correus. Abans de fer canvis tècnics al DNS, elaboreu una llista exhaustiva de tots els sistemes que envien missatges amb el vostre domini corporatiu:

• El vostre proveïdor de correu principal (Microsoft 365, Google Workspace, servidor propi, etc.).
• Plataformes de màrqueting i butlletins (Mailchimp, Brevo, Mailjet).
• Aplicacions transaccionals: CRM, ERP, passarel·les de facturació o el mateix servidor web on hi ha la pàgina (formularis de contacte).

Pas 2: Crear i publicar el registre SPF

El registre SPF es publica al tauler DNS del vostre proveïdor de domini com un registre de tipus TXT a l'amfitrió arrel (indicat habitualment amb una @ o deixant el camp en blanc).

1. Reuniu les directives dels vostres remitents legítims (per exemple, include:_spf.google.com per a Google Workspace o include:spf.protection.outlook.com per a Microsoft 365).
2. Construïu un únic registre TXT que inclogui tots els orígens identificats. Per exemple: v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
3. Regla d'or: no publiqueu mai més d'un registre SPF al mateix domini; si ho feu, els servidors receptors els invalidaran tots dos per defecte.
4. Acabeu sempre amb ~all (SoftFail) durant la fase inicial. Això indica als servidors de destinació que marquin com a sospitosos els enviaments no reconeguts, sense arribar a rebutjar-los.

Pas 3: Configurar i activar DKIM

Mentre que el registre SPF es redacta a mà, les claus DKIM es generen directament a la consola de cada servei emissor:

1. Accediu al tauler d'administració del vostre proveïdor de correu (per exemple, el Centre d'administració de Microsoft 365 o la Consola d'administració de Google Workspace).
2. Busqueu la secció d'autenticació del correu i sol·liciteu la generació d'una clau DKIM. El sistema us donarà un selector (un prefix identificatiu) i un valor públic en forma de registre TXT o CNAME.
3. Aneu a la vostra zona DNS i creeu el registre corresponent. El nom de l'amfitrió seguirà l'estructura [selector]._domainkey.elvostredomini.cat.
4. Quan el canvi s'hagi propagat al DNS (sol trigar entre uns minuts i un parell d'hores), torneu a la consola del proveïdor i activeu formalment la signatura DKIM. A partir d'aquell moment, cada correu sortint incorporarà una capçalera amb una signatura digital verificable.
5. Repetiu aquest procediment a les plataformes externes de màrqueting o facturació que permetin signatura pròpia.

Pas 4: Publicar la política inicial de DMARC

DMARC vincula els resultats d'SPF i DKIM i us torna visibilitat sobre què passa amb el vostre domini arreu del món.

1. Afegiu un registre TXT al DNS amb l'amfitrió _dmarc (és a dir, el registre respondrà a _dmarc.elvostredomini.cat).
2. Introduïu una política inicial estrictament de monitoratge (p=none): v=DMARC1; p=none; rua=mailto:informes-dmarc@elvostredomini.cat; pct=100;
3. La directiva p=none garanteix que cap missatge legítim no serà rebutjat ni enviat a la carpeta de correu brossa mentre ajusteu la configuració. A canvi, l'etiqueta rua enviarà resums agregats en format XML a l'adreça indicada, amb el detall de qui envia correus en nom vostre i si superen o no l'autenticació.

Pas 5: Analitzar els informes i enduriment de les polítiques

La implantació no s'acaba amb la publicació inicial:

1. Superviseu durant dues a quatre setmanes els informes que rebeu. Com que els fitxers XML són complexos d'interpretar a primer cop d'ull, us podeu ajudar d'analitzadors o visors DMARC en línia.
2. Si detecteu enviaments corporatius legítims que fallen (per exemple, un programari de facturació oblidat), ajusteu els registres SPF o DKIM perquè quedin ben alineats.
3. Quan hàgiu verificat que el 100 % del trànsit legítim supera la validació, enduriu la política DMARC de manera progressiva: primer a p=quarantine (enviar el correu no autoritzat a la carpeta de correu brossa) i, finalment, a p=reject (rebuig total a la destinació).
4. En aquest últim pas, modifiqueu també el final del registre SPF i substituïu ~all per -all (Fail estricte).

Amb aquests passos completats, la vostra organització protegirà molt millor la seva reputació digital, evitarà que tercers suplantin la seva identitat davant de clients o proveïdors i aconseguirà que les comunicacions legítimes arribin sense entrebancs a la safata d'entrada.