Resumen del webinar: El camino hacia BIMI con Mailgun y Red Sift

Todo el mundo quiere que su logo aparezca junto a sus emails en Gmail, pero pocas empresas están dispuestas a hacer lo necesario para conseguirlo. Juntos, Red Sift y Mailgun recorrieron todo el camino hacia BIMI, desde los fundamentos de la autenticación hasta la solicitud de BIMI.

¿Te perdiste el webinar? Te lo resumimos aquí, y siempre puedes ver la grabación.

BIMI es el premio por llevar DMARC a enforcement. Y la mayoría de las empresas aún no han llegado. Solo alrededor del 7% de las organizaciones tiene DMARC totalmente blindado en quarantine o reject. Eso deja aproximadamente el 93% de los dominios expuestos a cualquiera que quiera enviar emails haciéndose pasar por ellos.

Pero antes de hablar de logos, repasamos los fundamentos.

Jonathan Torres, Technical Account Manager en Mailgun, tiene una forma muy sencilla de recordar cómo funciona SPF: es como tener tu nombre en una lista de invitados o en la guía telefónica. En concreto, el registro SPF es un único registro TXT en el DNS de tu dominio que enumera cada servidor y servicio autorizado a enviar emails en tu nombre.

Cuando llega un mensaje, el servidor receptor consulta el registro SPF del dominio indicado en el return path y comprueba si la dirección IP de envío está en la lista. Dicho esto, un atacante puede superar SPF con un dominio de su propiedad mientras pone tu marca en el campo “De”. Por eso SPF no basta como protección, y por eso llegaron después otros métodos de autenticación.

DKIM funciona como un sistema de cerradura y llave. Publicas una clave pública en el DNS y cada mensaje que envías se firma con esa clave. Cuando llega un mensaje, el servidor receptor lee el selector y el dominio de la cabecera, obtiene la clave pública y verifica la firma con el mensaje. La firma cubre el cuerpo y cabeceras clave como “De” y “Asunto”. Si alguien modifica el mensaje en tránsito, DKIM falla.

Es importante tener en cuenta que el dominio de firma importa tanto como la firma. Algunos proveedores firman por defecto con su propio dominio, así que tu correo supera DKIM bajo el nombre de otro. DMARC necesita que el d=domain coincida con el dominio de tu dirección “De”, lo que implica configurar DKIM con tu propio dominio en cada servicio que envía por ti.

Si te preocupa que tu clave DKIM se vea comprometida, hay dos formas muy sencillas de protegerte. La primera es usar claves de 2048 bits en lugar de 1024 bits, mucho más difíciles de descifrar, y la segunda es rotarlas con regularidad. Muchos proveedores gestionan la rotación automáticamente mediante configuraciones basadas en CNAME. Pero si, por el motivo que sea, el tuyo no lo hace, acuérdate de programar una rotación manual como parte de tu flujo de seguridad del email.

Iris Cox, Customer Success Engineer en Red Sift, lo explicó con un símil de eventos. SPF es la lista de invitados, DKIM es la acreditación de la conferencia y DMARC es el portero que decide quién entra. DMARC comprueba si el mensaje supera SPF o DKIM con un dominio que coincide con la dirección “De” que ven los destinatarios. Esa coincidencia se llama alineación, y cierra la brecha de suplantación que SPF y DKIM dejan abierta por sí solos.

La etiqueta p= define tu política DMARC para el correo que falla. Con p=none, no pasa nada con los mensajes no alineados; solo obtienes informes. Con p=quarantine, el correo que falla va a spam. Y por último, con p=reject, los mensajes que no coinciden se rechazan. La etiqueta pct= define a qué proporción del correo que falla se aplica la política, y BIMI exige que esté en 100.

Los días de montar un servidor de correo y darle a enviar quedaron atrás hace tiempo. La autenticación es la nueva normalidad, y muchos ESP y proveedores de buzón la exigen antes de dejarte enviar.

Todo se reduce a la confianza. Los proveedores de buzón quieren saber que el correo que dice venir de tu dominio realmente viene de él. Los destinatarios quieren saber lo mismo. Cuando los remitentes se autentican correctamente, los proveedores de correo los recompensan con un mejor trato. Google, Yahoo y Microsoft ya exigen autenticación a los remitentes masivos. Mailgun explicó qué significan los requisitos de Gmail y Yahoo para tu programa y habló directamente con Yahoo sobre estos requisitos para entender la visión de los propios proveedores de buzón, y quedó claro que los informes no bastaban para proteger a sus clientes.

Y si estás pensando “no somos un remitente masivo, así que esto no nos afecta”, piénsalo otra vez. Los recibos, los restablecimientos de contraseña y otros emails transaccionales se acumulan rápido, y es fácil superar el volumen mínimo sin darte cuenta. Muchas empresas son remitentes masivos y todavía no lo saben.

Cuando tu dominio alcanza quarantine o reject al 100%, por fin puedes solicitar un certificado BIMI. Mailgun lo llama tu recompensa por una autenticación sólida, y es exactamente eso. Se trata de un registro DNS y una versión SVG de tu logo, respaldados por un certificado que demuestra que eres quien dices ser.

Hay dos tipos de certificado. Un VMC (Verified Mark Certificate) requiere una marca registrada. Un CMC (Common Mark Certificate) requiere que lleves al menos 12 meses usando tu logo públicamente, algo que verifica una autoridad de certificación. En ambos casos, en Gmail obtienes tu logo y una marca de verificación azul junto al nombre del remitente. Para conocer la letra pequeña de cada uno, lee el análisis de Red Sift sobre los requisitos de VMC y CMC.

Llegar a BIMI por tu cuenta es frustrante. Dar el formato correcto al SVG, comprobar el registro y lidiar con la solicitud del certificado hacen tropezar a mucha gente. Por eso creamos BIMI Maker, una herramienta gratuita que hace que todo el proceso sea lo más sencillo posible.

Puedes previsualizar tu logo en modo claro y oscuro, en círculos y cuadrados redondeados, y ajustar el tamaño al píxel. Después, BIMI Maker genera un SVG conforme. A partir de ahí, eliges tu tipo de certificado (hoy CMC, con soporte para VMC en camino), verificas tu dirección de email y obtienes un análisis completo de preparación de tu registro y tu logo. Puedes descargar un PDF con tus pruebas, enviarte los resultados por email e iniciar la solicitud ahí mismo.

Un CMC cuesta alrededor de 1.000 $ al año para el primer dominio. Los dominios adicionales con el mismo logo tienen una tarifa reducida de unos 450 $ cada uno.

Empieza recopilando informes DMARC durante unas semanas e identificando cada servicio que envía en tu nombre. Clasifícalos en lo que pagas, lo que permites y lo que nunca debería enviar correo. Elimina las entradas SPF obsoletas, autentica a los remitentes legítimos y bloquea el resto. Después, pasa primero a quarantine y luego a reject. Saltar directamente de none a reject es la receta perfecta para rebotes inesperados, salvo que se trate de un dominio aparcado.

Dicho esto, la coordinación importa tanto como la configuración. Los equipos descubren a menudo que selección de personal u otro departamento ha estado enviando desde el dominio principal sin que nadie en TI lo supiera. Anuncia el cambio a todos, avanza desde el dominio principal hacia los subdominios y prepárate para más sorpresas en las organizaciones grandes.

Tanto directa como indirectamente. Los proveedores de buzón se centran sobre todo en DMARC. El mayor efecto de BIMI viene de los destinatarios. Cuando la gente reconoce tu marca en la bandeja de entrada, abre e interactúa más, y esa interacción impulsa una reputación más sólida y una mejor colocación en la bandeja de entrada. Cada vez más organizaciones endurecen sus políticas de entrada para aceptar solo correo de dominios con DMARC en enforcement, y algunas podrían empezar a exigir BIMI. No controlas su correo entrante. Sí controlas tu correo saliente.

En la investigación de Red Sift que comparó emails con y sin logo visible, observamos hasta un 44% más de recuerdo de marca, un 39% más de tasa de apertura y un 32% más de intención de compra.

• Prueba gratis BIMI Maker y descubre lo cerca que está tu dominio de estar listo para BIMI.
• Crea una cuenta gratuita de OnDMARC con Red Sift para ver quién envía en tu nombre.
• ¿Necesitas ayuda con el envío? Mailgun ofrece cuentas gratuitas y servicios de entregabilidad respaldados por el equipo de technical account management de JT.