read receipts
El Candado del Que Todos Presumen Cuelga en una Puerta Abierta
Tu banco tiene DMARC. También tu aerolínea. Y está haciendo prácticamente nada. La configuración que lo prueba tiene una palabra de largo.
Aproximadamente nueve de cada diez dominios que publican un registro DMARC lo tienen configurado en p=none — el modo que le dice al mundo exactamente quién te está suplantando y luego los deja pasar. El análisis de Red Sift de la última década coloca la aplicación real de DMARC en cifras de un solo dígito durante años, e incluso los números optimistas de los proveedores siguen dejando la gran mayoría de registros en none.
Aquí está la broma escondida en esa palabra. DMARC — deletreado en RFC 7489 — es lo que decide qué debe hacer un servidor de correo receptor cuando un mensaje que dice ser de tu dominio falla las verificaciones subyacentes. Esas verificaciones son SPF (¿este servidor está autorizado a enviar por ti?) y DKIM (¿este mensaje está firmado criptográficamente por ti?). DMARC se sitúa encima e emite un veredicto. p=none es el veredicto que no es uno. Dice: nota el fraude, registra el fraude, envíame un informe sobre el fraude — y entregalo de todas formas.
Un detector de humo con la batería sacada sigue colgando en el techo. Se ve como protección. Fotografía como protección. Solo que no se activa cuando la cocina está en llamas.
Las dos configuraciones que realmente funcionan son p=quarantine, que envía el correo que falla al spam, y p=reject, que le dice al receptor que lo rechace antes de que llegue. Ese es todo el juego. Un estafador suplantando billing@yourbank.example se encuentra con un muro solo si ese banco publicó reject. Si el banco publicó none — y la mayoría lo hizo — la suplantación llega a la bandeja de entrada viéndose exactamente como la cosa real, completa con el logo real sacado directamente del sitio web real.
¿Por qué todos se estancan en none? Porque none es el primer paso seguro, y los primeros pasos seguros tienen la costumbre de convertirse en la dirección permanente. Se supone que debes comenzar allí, leer los informes, encontrar cada servicio legítimo que envía en tu nombre — el proveedor de nómina, la plataforma de marketing, la herramienta de emisión de entradas que nadie documentó — conseguir que todos firmen correctamente, y entonces cambiar a reject. Ese último movimiento es el aterrador. Cambiar a reject con un remitente no autenticado suelto en el camino y bloquearás tus propias facturas. Así que los equipos publican el registro, le dicen al auditor que está resuelto, y nunca vuelven a terminar. Los correos de informe se acumulan sin leer. La batería se queda afuera.
La víctima eres tú, la persona que lee el mensaje. Cuando una marca en la que confías deja DMARC en none, "vino de su dominio real" deja de significar nada, porque la suplantación de un criminal pasa la misma prueba visual. Esta es precisamente la brecha que observamos en el extremo receptor en xmail: un mensaje puede fallar la autenticación completamente y aún así llegar disfrazado como tu compañía de servicios, porque la compañía de servicios nunca le dijo a internet que rechazara los falsos.
Así que aquí hay una prueba que puedes ejecutar en aproximadamente quince segundos. Toma cualquier marca que te asustó con un correo de "actividad sospechosa" — abre una búsqueda DMARC pública y pega su dominio. Si la política dice p=none, esa compañía está pidiendo a los receptores que noten la suplantación y no hagan nada al respecto. Millones de dominios están haciendo silenciosamente esa solicitud todos los días.
La solución no es más tecnología. Es el valor de cambiar una palabra de none a reject. La alarma ya ve el humo. Alguien solo tiene que volver a poner la batería.