Correo electronico - Historial de revisiones

Victor: /* Correo electrónico */

2025-04-18T09:32:20Z

Correo electrónico

← Revisión anterior		Revisión del 09:32 18 abr 2025
Línea 107:		Línea 107:

	====== Creación del par de claves DKIM ======		====== Creación del par de claves DKIM ======
	Empleando el programa [[opensll]] se crea primero la clave RSA:<syntaxhighlight lang="bash">		Empleando el programa [[opensll\|openssl]] se crea primero la clave RSA:<syntaxhighlight lang="bash">
	$ openssl genrsa -out clave.pem 2048		$ openssl genrsa -out clave.pem 2048
	</syntaxhighlight>Y se extrae de ella la clave pública:<syntaxhighlight lang="bash">		</syntaxhighlight>Y se extrae de ella la clave pública:<syntaxhighlight lang="bash">

Victor en 17:43 26 dic 2023

2023-12-26T17:43:37Z

← Revisión anterior		Revisión del 17:43 26 dic 2023
Línea 185:		Línea 185:
	\|Rechazado		\|Rechazado
	\|}		\|}

		⚫	===== ARC - Authenticated Received Chain =====

	==== Resumen de registros DNS para un servidor de correo ====		==== Resumen de registros DNS para un servidor de correo ====
Línea 218:		Línea 220:
	_submission._tcp 10800 IN SRV 0 1 25 smtp.empresa.net.		_submission._tcp 10800 IN SRV 0 1 25 smtp.empresa.net.
	</syntaxhighlight>		</syntaxhighlight>

⚫	===== ARC - Authenticated Received Chain =====

	===== Referencias =====		===== Referencias =====

Victor: /* Recetario */

2023-12-22T12:38:34Z

Recetario

← Revisión anterior		Revisión del 12:38 22 dic 2023
Línea 233:		Línea 233:

	==== Recetario ====		==== Recetario ====

			===== Herramientas de validación en línea =====

			* [https://www.kitterman.com/spf/validate.html Validación de SPF]

	===== SPF para dominios sin correo =====		===== SPF para dominios sin correo =====

Victor: /* Referencias */

2023-12-22T12:32:40Z

Referencias

← Revisión anterior		Revisión del 12:32 22 dic 2023
Línea 218:		Línea 218:
	_submission._tcp 10800 IN SRV 0 1 25 smtp.empresa.net.		_submission._tcp 10800 IN SRV 0 1 25 smtp.empresa.net.
	</syntaxhighlight>		</syntaxhighlight>

			===== ARC - Authenticated Received Chain =====

	===== Referencias =====		===== Referencias =====

			* DMARC:
⚫	* [https://www.esecurityplanet.com/networks/~~what~~-is-dmarc/ ~~What~~ is DMARC]
	* [https://www.esecurityplanet.com/networks/~~how~~-~~to-set-up-and-implement~~-dmarc~~-email-security~~/ ~~How to~~ ~~setup~~ DMARC]		** [https://www.esecurityplanet.com/networks/what-is-dmarc/ What is DMARC]
		⚫	** [https://www.esecurityplanet.com/networks/how-to-set-up-and-implement-dmarc-email-security/ How to setup DMARC]
⚫	* [https://www.rfc-editor.org/rfc/rfc6186.html RFC 6186 (Use of SRV Records for Locating Email Submission/Access Services])
	* [https://powerdmarc.com/dmarc-alignment/ DMARC Alignment]		** [https://powerdmarc.com/dmarc-alignment/ DMARC Alignment]

			* RFC:
			** [https://www.rfc-editor.org/rfc/rfc1113.html RFC 1113: Privacy enhancement for Internet electronic mail: Part I]
		⚫	** [https://www.rfc-editor.org/rfc/rfc6186.html RFC 6186 (Use of SRV Records for Locating Email Submission/Access Services])

	==== Recetario ====		==== Recetario ====

Victor: /* Referencias */

2023-12-22T11:54:30Z

Referencias

← Revisión anterior		Revisión del 11:54 22 dic 2023
Línea 221:		Línea 221:
	===== Referencias =====		===== Referencias =====

	* https://www.esecurityplanet.com/networks/what-is-dmarc/		* [https://www.esecurityplanet.com/networks/what-is-dmarc/ What is DMARC]
	* https://www.esecurityplanet.com/networks/how-to-set-up-and-implement-dmarc-email-security/		* [https://www.esecurityplanet.com/networks/how-to-set-up-and-implement-dmarc-email-security/ How to setup DMARC]
	* https://www.rfc-editor.org/rfc/rfc6186.html		* [https://www.rfc-editor.org/rfc/rfc6186.html RFC 6186 (Use of SRV Records for Locating Email Submission/Access Services])
			* [https://powerdmarc.com/dmarc-alignment/ DMARC Alignment]

	==== Recetario ====		==== Recetario ====

Victor: /* DMARC (Domain-based Message Authentication, Reporting and Conformance) */

2023-12-22T09:29:04Z

DMARC (Domain-based Message Authentication, Reporting and Conformance)

@@ Línea 127: / Línea 127: @@
 # Ajustar las restricciones DMARC
 # Volver a monitorizar los informes DMARC para legitimar los emisores que fallan y descubrir los emisores maliciosos que intentan suplantar tu identidad.
 ==== Resumen de registros DNS para un servidor de correo ====

Victor: /* DMARC (Domain-based Message Authentication, Reporting and Conformance) */

2023-12-22T08:56:23Z

DMARC (Domain-based Message Authentication, Reporting and Conformance)

← Revisión anterior		Revisión del 08:56 22 dic 2023
Línea 117:		Línea 117:
	* https://www.mailhardener.com/kb/how-to-create-a-dkim-record-with-openssl		* https://www.mailhardener.com/kb/how-to-create-a-dkim-record-with-openssl

	===== DMARC =====		===== DMARC (Domain-based Message Authentication, Reporting and Conformance) =====
			DMARC es un protocolo creado para intentar paliar las debilidades de los otros dos mecanismos (SPF y DKIM) de autentificación del correo electrónico, especialmente cuando hay discrepancias entre la cabecera ''From'' del mensaje y lo que se muestra como campo ''From''. Su operativa es algo más compleja que los anteriores porque es parte de un proceso activo que está siempre basado en los dos anteriores.

			La forma de proceder '''debería ser''' la siguiente:

			# Publicar un registro DMARC para el dominio
			# Monitorizar los informes DMARC para comprobar qué emisores de correo legítimos han fallado y por qué
			# Modificar SPF, DKIM y DMARC para asegurarse de que esos emisores de correo tengan vía libre
			# Ajustar las restricciones DMARC
			# Volver a monitorizar los informes DMARC para legitimar los emisores que fallan y descubrir los emisores maliciosos que intentan suplantar tu identidad.

	==== Resumen de registros DNS para un servidor de correo ====		==== Resumen de registros DNS para un servidor de correo ====

Victor: /* DKIM (DomainKeys Identified Mail) */

2023-12-22T06:56:00Z

DKIM (DomainKeys Identified Mail)

← Revisión anterior		Revisión del 06:56 22 dic 2023
Línea 88:		Línea 88:
	De esta manera aquél servidor que reciba nuestro correo firmado podrá descargar la clave pública de los registros del DNS y efectuar la verificación sobre los mensajes.		De esta manera aquél servidor que reciba nuestro correo firmado podrá descargar la clave pública de los registros del DNS y efectuar la verificación sobre los mensajes.

	Los pasos a seguir ~~mencionados en ésta o ésta página~~ son:		Los pasos a seguir son:

	# Elegir un texto breve como ''selector'' que se utilizará en ambos lados: DNS y ~~exim~~. Vale cualquier cosa pero emplear algo ''estándar'' como ''exim'' o ''default'' es buena idea para no tener que recordar nombres extraños cuando verificamos lo que hemos hecho.		# Elegir un texto breve como ''selector'' que se utilizará en ambos lados: DNS y servidor de correo. Vale cualquier cosa pero emplear algo ''estándar'' como ''exim'' o ''default'' es buena idea para no tener que recordar nombres extraños cuando verificamos lo que hemos hecho.
	# Crear un par de claves pública/privada con openssl teniendo en cuenta las limitaciones de espacio del registrador (gandi.net por ejemplo sólo admite 1024 bytes de longitud).		# Crear un par de claves pública/privada con [[openssl]] teniendo en cuenta las limitaciones de espacio del registrador (gandi.net por ejemplo sólo admite 1024 bytes de longitud).
	# Configurar ~~exim~~ para que emplee ~~las~~ clave privada para firmar los mensajes salientes.		# Configurar el servidor de correo para que emplee la clave privada para firmar los mensajes salientes.
	# Crear y publicar un registro TXT en el DNS con la parte pública.		# Crear y publicar un registro TXT en el DNS con la parte pública.
	# Verificar (una vez todo se ha actualizado) que los mensajes están correctamente firmados:		# Verificar (una vez todo se ha actualizado) que los mensajes están correctamente firmados:
	## Emplear un servicio en línea como DKIM Key Checker		## Emplear un servicio en línea como [https://easydmarc.com/tools/dkim-lookup DKIM Key Checker]
	## Enviar un correo a check-auth@verifier.port25.com o similar para obtener resultados desde el punto de vista del receptor.		## Enviar un correo a [mailto://check-auth@verifier.port25.com check-auth@verifier.port25.com] o similar para obtener resultados desde el punto de vista del receptor.
			Esta configuración para el servidor exim está explicada [[Exim4\|en su página]].

	La configuración de exim es sencilla. Una vez hemos guardado a salvo la clave cambiamos la configuración (el archivo ''/etc/exim4/conf.d/transport/10_exim4-config_transport-macros'' por ejemplo) para indicar que lo emplee cada vez que transporte un correo.
	<nowiki>DKIM_DOMAIN = ${lc:${domain:$h_from:}}
	DKIM_FILE = /etc/exim4/dkim/dominio.com.private.key
	DKIM_PRIVATE_KEY = ${if exists{DKIM_FILE}{DKIM_FILE}{0}}
	DKIM_SELECTOR = exim</nowiki>
	Podemos revisar la configuración de exim con:
	# exim4 -bV \| grep DKIM
	Support for: crypteq iconv() IPv6 PAM Perl Expand_dlfunc GnuTLS move_frozen_messages Content_Scanning '''DKIM'''

	====== Registro DNS para DKIM ======		====== Registro DNS para DKIM ======
	Se emplea un registro tipo '''TXT''' cuyo valor es un nombre DNS ficticio formado por el selector de clave definido ~~en ''DKIM_SELECTOR''~~, el literal ''_domainkey'' y el nombre del dominio completo (''empresa.net'' por ejemplo).		Se emplea un registro tipo '''TXT''' cuyo valor es un nombre DNS ficticio formado por el selector de clave definido antes, el literal ''_domainkey'' y el nombre del dominio completo (''empresa.net'' por ejemplo).

	Así pues quedaría de la siguiente forma:		Así pues quedaría de la siguiente forma:

Victor: /* SPF (Sender Policy Framework) */

2023-12-22T06:51:40Z

SPF (Sender Policy Framework)

← Revisión anterior		Revisión del 06:51 22 dic 2023
Línea 18:		Línea 18:

	* Indicador de versión del SPF: v=spf1		* Indicador de versión del SPF: v=spf1
	* Cero o más mecanismos que declaran direcciones IP y máquinas que pueden enviar el correo. Los mecanismos pueden estar prefijados con un calificador que altera su significado en caso de fallo. ~~Son~~ los ~~siguientes:~~ a, ~~mx, ipv4, ip6, include y all~~. Hay algunos más pero no los estoy contemplando.		* Cero o más mecanismos que declaran direcciones IP y máquinas que pueden enviar el correo. Los mecanismos pueden estar prefijados con un calificador que altera su significado en caso de fallo. Los principales los detallo a continuación. Hay algunos más pero no los estoy contemplando.
			** '''a''' define un servidor de correo
			** '''mx''' los servidores de correo del dominio
			** '''ipv4''' dirección IP (versión 4) o rango CIDR
			** '''ipv6''' dirección IP (versión 6) o rango
			** '''include''' evalúa el registro SPF de los servidores incluídos (no expande a su contenido, los evalúa)
	* Los calificadores indican cómo considerar el que la IP de origen del mensaje coincida con un mecanismo:		* Los calificadores indican cómo considerar el que la IP de origen del mensaje coincida con un mecanismo:
	** '''+''' pass		** '''+''' pass

Victor: /* Recetario */

2023-12-21T18:43:20Z

Recetario

← Revisión anterior		Revisión del 18:43 21 dic 2023
Línea 162:		Línea 162:

	==== Recetario ====		==== Recetario ====

			===== SPF para dominios sin correo =====
			Si se tiene un dominio de Internet que no envía correo electrónico alguno es conveniente protegerlo para que pueda ser usado por terceros definiendo el SPF como sigue: <syntaxhighlight lang="text">
			empresa.net. 10800 IN TXT "v=spf1 -all"
			</syntaxhighlight>

	===== Reescribiendo el asunto del mensaje =====		===== Reescribiendo el asunto del mensaje =====