Si el teu correu acaba a la carpeta de brossa, o simplement no arriba, el més probable és que el problema no sigui el contingut: és que falten tres registres DNS. Gmail, Outlook i la resta de grans proveïdors han endurit molt els seus filtres, i avui un domini sense SPF, DKIM i DMARC entra a la categoria de sospitós per defecte.
La bona notícia és que són tres registres de text, es configuren una vegada i funcionen per sempre.
SPF: qui pot enviar en el teu nom
SPF és una llista de servidors autoritzats a enviar correu amb el teu domini. Quan un servidor rep un missatge que diu venir de la teva empresa, consulta el teu SPF i comprova si l’adreça d’origen és a la llista.
És un registre TXT senzill. La part que sol fallar són les omissions: l’eina de facturació que envia les factures, la plataforma de butlletins, el formulari de la web, el CRM. Tot el que enviï correu amb el teu domini ha d’estar inclòs, o aquests missatges fallaran la verificació.
I un advertiment important: només pot existir un registre SPF per domini. Dos registres SPF no se sumen, invaliden la verificació. Si afegeixes un servei nou, s’amplia el registre existent, no se’n crea un altre.
DKIM: la signatura que demostra integritat
DKIM afegeix una signatura criptogràfica a cada missatge que surt. El receptor consulta la teva clau pública al DNS i verifica la signatura. Si coincideix, sap dues coses: que el missatge va sortir realment d’un servidor autoritzat i que ningú el va modificar pel camí.
DKIM té un avantatge pràctic sobre SPF: sobreviu als reenviaments. Quan algú reenvia el teu correu, l’adreça d’origen canvia i SPF falla, però la signatura DKIM continua sent vàlida. Per això cal tenir tots dos, no un.
DMARC: la política i, sobretot, els informes
DMARC diu al receptor què ha de fer quan SPF i DKIM fallen: res, quarantena o rebuig. Però la seva funció més valuosa és una altra: els informes.
Amb DMARC configurat reps informes periòdics de qui està enviant correu amb el teu domini. Allà descobreixes els serveis legítims que vas oblidar incloure, i també si algú està suplantant la teva marca. Sense aquests informes, estàs a cegues.
L’ordre correcte de desplegament
Aquest és el punt on més gent s’equivoca. Començar directament amb una política de rebuig bloqueja el teu propi correu legítim, i te n’assabentes quan un client et diu que no va rebre el pressupost.
La seqüència segura és:
- Publica SPF i DKIM i verifica que funcionen enviant-te correu a un compte extern.
- DMARC en mode none durant dues o tres setmanes. No bloqueja res, només recull informes.
- Llegeix els informes i inclou els serveis legítims que apareguin i no estiguessin contemplats.
- Puja a quarantine, observa dues setmanes més.
- I només aleshores, reject.
Aquest camí triga un mes i no trenca res. L’atall triga un dia i trenca el teu correu.
Un detall sobre subdominis
Si no publiques SPF per a un subdomini, un atacant pot intentar suplantar-lo. Publica registres restrictius per als subdominis que no envien correu, i fes servir la política de subdomini de DMARC per cobrir la resta.
Com ho resolem
Al nostre DNS gestionat el panell et deixa publicar i editar aquests tres registres sense barallar-te amb la sintaxi, i com que corre sobre xarxa anycast global les consultes es responen ràpid des de qualsevol lloc, que és el que vols quan un servidor receptor està decidint si el teu correu entra. Si véns d’un altre proveïdor i no saps com tens això, t’ho revisem.