En octubre de 2023, Google y Yahoo anunciaron conjuntamente nuevos requisitos para ayudar a ofrecer “una bandeja de entrada más segura y con menos spam” para los usuarios.
Los requisitos entrarán en vigor el 1 de febrero de 2024 y son específicos para remitentes masivos, es decir, aquellos que envían más de 5.000 correos electrónicos al día.
¿Cuáles son los nuevos requisitos de Google y Yahoo para los remitentes masivos?
Los nuevos requisitos para remitentes masivos abarcan tres pilares fundamentales:
- Autenticar los dominios desde los que envías
- Facilitar que las personas puedan dejar de recibir tus correos electrónicos
- No enviar spam
Suena bastante sencillo. Sin embargo, los requisitos de autenticación de dominios son los más complejos de los tres, ya que existen múltiples subrequisitos para los usuarios, entre ellos:
- Publicar una política de DMARC para cada dominio que envíe correo, con al menos una política de “none”.
- Configurar SPF y DKIM para cada dominio que envíe correo. Ten en cuenta que se requieren tanto SPF comocomo DKIM, a diferencia de DMARC, que solo requiere uno de los dos.
- Alinear el dominio en el encabezado `From:` del remitente con el dominio de SPF o el dominio de DKIM (solo para correo directo).
- Asegurarse de que los dominios o IPs de envío tengan registros DNS directos e inversos válidos mediante un DNS con confirmación directa (Forward Confirmed DNS, FcrDNS). Puedes leer más sobre FCrDNS aquí.
Consulta más información sobre los nuevos requisitos en el artículo de soporte de Google.
Evaluación de la preparación a escala global con BIMI Radar
En Red Sift, llevamos años monitoreando el nivel de preparación del mundo para DMARC utilizando nuestro BIMI Radar. Esta herramienta analiza más de 70.000.000 de dominios en todo el mundo para comprender mejor las tendencias en la adopción de DMARC y de los Indicadores de Marca para la Identificación de Mensajes (BIMI) en Internet.
BIMI se introdujo en 2021 y permite a las empresas mostrar el logotipo de su marca en el espacio del avatar de los correos electrónicos que envían. BIMI solo puede implementarse y respetarse en organizaciones que tengan una política de aplicación de DMARC de cuarentena o rechazo tanto en el dominio raíz como en todos los subdominios.
DMARC es un protocolo que permite a los propietarios de dominios obtener visibilidad sobre los servicios de correo electrónico que envían en su nombre, y también bloquear a los remitentes no autorizados. DMARC es el único protocolo capaz de impedir que servicios ilegítimos envíen en nombre de un dominio una vez que dicho dominio tiene una política de cuarentena o rechazo.
En relación con los requisitos de envío masivo de Google y Yahoo, BIMI Radar ofrece un punto de vista interesante. Dado que solo analiza registros DNS estáticos, no proporciona una visibilidad completa sobre qué dominios cumplirían plenamente con los requisitos de Google y Yahoo. Sin embargo, sí nos da una idea de quiénes no han publicado registros DMARC y, por lo tanto, fallarán con certeza a partir de febrero de 2024.
Al examinar esta cuestión de quién en el mundo no está preparado para los nuevos requisitos de Google y Yahoo, comienzan a surgir tendencias interesantes.
Ten en cuenta que todos los datos mencionados en este artículo corresponden a diciembre de 2023.
El 91,38% de los dominios a nivel mundial no cumplen los nuevos requisitos
En el nivel más general, el mundo no parece estar preparado para los nuevos requisitos de envío masivo.
Al examinar los 70.000.000 de dominios a nivel mundial, el 91,38% de los dominios que envían correo electrónico no tienen registro DMARC y, por lo tanto, no cumplirían con los nuevos requisitos de Google y Yahoo.
Sin embargo, dada la variedad de organizaciones y dominios que aparecen en BIMI Radar, y que no todos los dominios incluidos son dominios que envían correo electrónico, es importante profundizar un nivel más para intentar identificar a aquellos con más probabilidades de verse afectados por los requisitos de envío masivo.
El 33% de las grandes empresas a nivel mundial no tiene registro DMARC
Si utilizamos las empresas que cotizan en bolsa como referencia de las grandes empresas con más probabilidades de ser remitentes masivos, comienza a surgir un panorama distinto.
Al observar los 2.380 dominios correspondientes que vemos en todo el mundo, el 33% no tiene ningún registro DMARC implementado.
Si investigamos esto país por país, comienza a surgir un panorama más optimista. En Estados Unidos, Francia y el Reino Unido, por ejemplo, solo entre el 10% y el 14% de las organizaciones no cumplirán definitivamente con los nuevos requisitos.
Por el contrario, en Corea y Japón, el 50% de las grandes empresas no cumplirá.
Country % that will fail Google and Yahoo Requirements United States 6.52% France 10.47% Australia 10.78% Canada 12.37% United Kingdom 14.58% Netherlands 16.83% India 17.44% Germany 20.75% Chile 28.89% Italy 29.81% Spain 39.18% Austria 45.71% Indonesia 47.92% Japan 50.00% Korea 50.00%
Para ver otros países, visita BIMI Radar.
El 40% de las grandes empresas a nivel mundial probablemente cumpla con los nuevos requisitos
Para comprobar qué dominios de envío cumplen plenamente con los requisitos es necesario capturar un correo electrónico en tiempo real para verificar que el FCrDNS esté configurado correctamente, que exista alineación de DKIM o SPF, y que la clave DKIM sea válida. También se requieren comprobaciones más detalladas para las tasas de spam. Por lo tanto, a escala global, es imposible obtener estadísticas reales de preparación para todos los remitentes que definitivamente cumplirán.
Sin embargo, podemos usar a aquellos que ya han implementado o podrían implementar BIMI como una aproximación de quienes probablemente cumplirán con los nuevos requisitos. Esto se debe a que BIMI requiere la aplicación de DMARC, la configuración de SPF y DKIM, y la alineación de SPF o DKIM. Aunque esto no tiene en cuenta el FCrDNS, es razonable suponer que aquellos que están listos para BIMI cuentan con dominios e IPs de envío que tienen registros DNS directos e inversos válidos.
Por lo tanto, utilizando la preparación para BIMI como referencia, podemos ver en qué parte del mundo las grandes empresas tienen más probabilidades de estar preparadas para los nuevos requisitos de Google y Yahoo.
A nivel mundial, el 39,87% de las grandes empresas probablemente cumpliría con los nuevos requisitos. Vemos que India y los Países Bajos mejoran su preparación general desde esta perspectiva, mientras que Corea presenta un sorprendentemente bajo 2,02% de empresas que probablemente cumplan con los nuevos requisitos.
Country % that would likely pass Google and Yahoo Requirements United States 75% India 70.94% Netherlands 66.34% United Kingdom 58.33% France 56.99% Canada 50.52% Chile 38.89% Indonesia 36.46% Austria 34.29% Italy 32.69% Spain 30.93% Germany 20.75% Japan 15.28% Korea 2.02%
Para ver otros países, visita BIMI Radar.
Uso de índices de mercado para evaluar la preparación
También podemos obtener una referencia de preparación examinando diferentes índices de mercado. Estos datos ofrecen una perspectiva interesante sobre el nivel de preparación de las mayores empresas en distintos mercados de todo el mundo.
Seguimos observando que las empresas de Estados Unidos y Francia son las más preparadas. Los índices más grandes de Europa y el Reino Unido representan a las empresas menos preparadas.
Index % that will fail Google and Yahoo Requirements CAC 40 (France) 7.50% S&P 500 (US) 8.8% Fortune 500 (US) 9.22% DAX (Germany) 10.00% FTSE 100 (UK) 15.00% Euronext 150 18.92% FTSE 250 (UK) 21.31%
¿Hacia dónde vamos a partir de aquí?
Dado que, en el momento de la publicación de este blog, falta menos de un mes para que entren en vigor las normativas de Google y Yahoo para remitentes masivos, la conclusión más importante de nuestros hallazgos es la acción.
Las empresas que envían más de 5.000 correos electrónicos al día (aproximadamente) deben asegurarse no solo de tener un registro DMARC implementado, sino también de contar con SPF y DKIM, de que exista alineación entre SPF y DKIM, y de que el FcrDNS esté configurado correctamente para cada dominio desde el que envían correo.
Aunque BIMI Radar y otras herramientas estáticas son un excelente primer paso para asegurarse de que los registros DMARC estén implementados, las organizaciones deberían utilizar herramientas dinámicas como Investigate de Red Sift para garantizar que se cumplan los demás criterios.
With Red Sift Investigate, you can see if your email-sending domain will meet the new requirements in under a minute. Check your readiness now
En Red Sift, prevemos que estos requisitos de Google y Yahoo sean solo el primer paso para garantizar que los dominios estén completamente autenticados. Prevemos que la aplicación de DMARC será el siguiente paso lógico después de los requisitos de febrero de 2024, ya que quienes cumplan con los nuevos requisitos estarán, en esencia, preparados para la aplicación de DMARC.
Si buscas alcanzar la aplicación de DMARC, no dejes de consultar el galardonado Red Sift OnDMARC.
Rahul Powar is the co-founder and CEO of Red Sift. A technologist and thought leader in both AI and cybersecurity, Rahul's career previously includes Thomas Reuters and the Shazam.