SPF, DKIM y DMARC en Exchange Online Protection
En las dos publicaciones de blog anteriores, expliqué cómo implementar Exchange Online Protection como una solución de higiene de mensajes para su entorno Exchange local, tanto para el flujo de correo entrante como saliente.
En esta publicación de blog entraré más en detalles sobre cómo configurar Exchange Online Protection
SPF, DKIM y DMARC
Cuando Exchange Online Protection esté completamente en funcionamiento, podrá continuar configurando SPF, DKIM y DMARC para fines de autenticación de mensajes. Esto asegurará que su dominio de correo electrónico sea mucho más difícil de falsificar y que los sistemas receptores de correo electrónico sepan que la fuente de su correo electrónico es una fuente confiable.
FPS
SPF existe desde hace años y en mi publicación anterior de blog ya mencioné el registro SPF necesario para usar con Exchange Online Protection. Si desea leer más sobre la implementación de SPF, consulte mi publicación de blog SenderID, SPF, DKIM y DMARC en Exchange 2016 - Parte I.
Cuando utilice únicamente Exchange Online Protection, su registro SPF tendrá el aspecto v=spf1 include:spf.protection.outlook.com -all.
DKIM
Lo bueno de Exchange Online Protection es que admite la firma y verificación DKIM desde el primer momento. ¡Lo único que tienes que hacer es habilitarlo en el Centro de administración de Exchange!
Inicie sesión en el Centro de administración de Exchange (Protección en línea), seleccione protección en el menú de navegación y haga clic en DKIM en la barra de herramientas. Cuando hace clic en habilitar, se muestra un mensaje de error (en amarillo) que primero debe crear los registros DNS apropiados (haga clic para ampliar).
El mensaje de error dice (para fines de motor de búsqueda):
El registro CNAME no existe para esta configuración. Por favor, publique primero los siguientes dos registros CNAME.
selector1-domain-com._domainkey.tenantname.onmicrosoft.com
selector2-dominio-com._clavededominio.nombreinquilino.onmicrosoft.com
La descripción no es tan clara cuando no eres un gurú de DKIM, pero necesitas crear los siguientes registros CNAME:
Selector1._domainkey.domain.com CNAME selector1-domain-com._domainkey.tenant.onmicrosoft.com
Selector2._domainkey.domain.com CNAME selector2-domain-com._domainkey.tenant.onmicrosoft.com
Cuando se crean los registros DNS, puede usar MXToolbox para verificar si son válidos:
Si se envía un correo electrónico desde el servidor Exchange local a través de Exchange Online Protection a, por ejemplo, Gmail, puede comprobar los encabezados. Si está configurado correctamente, puede ver los pases de verificación de SPF, puede ver la firma DKIM creada por EOP y también puede ver los resultados de la autenticación. Debería leer spf=pass y dkim=pass en Resultados de autenticación como se muestra en la siguiente captura de pantalla (haga clic para ampliar):
Para obtener más información sobre DKIM y Exchange, consulte mi publicación de blog SenderID, SPF, DKIM y DMARC en Exchange 2016 - Parte II.
DMARC
Cuando DKIM y SPF están configurados correctamente, puede crear un registro DMARC en DNS público. Una política DMARC le indicará al servidor de correo receptor qué hacer con el correo electrónico que no cumple con otras configuraciones. Por ejemplo, si el correo electrónico proviene de un servidor de correo que no figura en el registro SPF, es posible que esté falsificado. Si falta la firma DKIM, es posible que se haya falsificado; si la firma DKIM no es válida, es posible que el mensaje esté atenuado. Si este es el caso, puede definir una política que rechace dicho mensaje. El registro DNS quedará así:
v=DMARC1;p=reject;sp=reject;pct=100;rua=mailto:dmarcreports@exchange2019.nl
La RUA es una dirección de correo electrónico a la que se envían los informes DMARC, por lo que es bueno tener un buzón de este tipo en su servidor Exchange.
Al enviar un correo electrónico desde el servidor Exchange a través de EOP a Gmail cuando SPF, DKIM y DMARC están configurados, puede ver información como la siguiente captura de pantalla en los encabezados del correo electrónico (haga clic para ampliar):
Ahora todo está configurado correctamente y la suplantación de identidad es mucho más difícil de lograr para usuarios malintencionados.
Para obtener más información sobre DMARC y Exchange, consulte mi publicación de blog SenderID, SPF, DKIM y DMARC en Exchange 2016 - Parte III.
Resumen
En esta publicación de blog, le mostré cómo configurar SPF, DKIM y DMARC en Exchange Online Protection para evitar la suplantación de identidad por parte de usuarios malintencionados.
En mi próximo blog entraré más en detalles sobre la configuración de las opciones de higiene de mensajes en Exchange Online Protection.