C’è molto di più sulla sicurezza delle e-mail di quanto non appaia a prima vista. Siamo tutti ben consapevoli che l’e-mail è una delle aree più colpite dal phishing per i dati personali e le informazioni sensibili.
Gli hacker stanno diventando molto più bravi a creare messaggi dall’aspetto autentico che ingannano molti a cliccare su una call-to-action e a fornire agli spoofers le informazioni che stanno cercando, spesso dettagli di login e accesso finanziario.
Autenticazione e-mail – che cos’è?
Autenticazione e-mail is the system designed to protect your reputation by checking when you send an email campaign that you’re who you say you are. The four concepts are simple enough, yet setting each of the methods can be tricky. However, the protection offered when combined is as good as you can put in place under our current systems.
Quali sono i metodi possibili?
I quattro metodi di autenticazione e-mail tipici oggi sono i seguenti:
- SPF – Struttura della politica del mittente
Questo standard esegue il controllo originale per assicurarsi che ogni e-mail provenga da un indirizzo IP affidabile. - DKIM – DomainKeys Identified Mail
Un altro controllo dell’identità, ma questa volta utilizzando una chiave di crittografia come firma digitale. - DMARC – Segnalazione e conformità dei messaggi di dominio
DMARC assicura che le e-mail soddisfino sia SPF che DKIM prima di essere consegnate. - BIMI – Indicatori di marca per l’identificazione del messaggio
BIMI fornisce un controllo finale, concentrandosi sulla credibilità del mittente e mostrando l’immagine del marchio del mittente nella casella di posta del destinatario (dove attualmente supportato).
Daremo un’occhiata più approfondita a ciascuno di essi un po’ più avanti, ma prima, spiegheremo perché sono così importanti e spiegheremo un po’ come funzionano.
Come funziona l’autenticazione via email?
Ognuno dei metodi di autenticazione (SPF DKIM DMARC BIMI) applica un livello di sicurezza alle tue email usando il tuo dominio email per verificare che tu sia chi dici di essere.
- Il mittente definisce la politica/le regole di come il suo dominio è autenticato.
- Poi configurano il DNS del dominio e i server di posta elettronica per implementare queste regole.
- I server dei destinatari verificano le e-mail in arrivo controllando le regole fissate nel DNS del dominio.
- Quando è autenticato, il server del destinatario elabora l’e-mail in modo sicuro; se l’autenticazione fallisce, il messaggio viene bloccato o messo in quarantena o gestito in linea con la sentenza di autenticazione.
Quali sono i benefici?
Come si può vedere, se non si imposta l’autenticazione delle email, si corre il rischio di email rifiutate, tassi di spam più alti e tassi di consegna più bassi.
I tuoi messaggi accuratamente considerati, ben progettati e creati hanno molte meno possibilità di arrivare nelle caselle di posta elettronica a cui sono destinati.
Peggio ancora, senza i vostri metodi di autenticazione delle e-mail in atto, il vostro marchio è molto più facile da falsificare, lasciando voi e i vostri clienti molto aperti agli attacchi e-mail, agli hack e al phishing.
Impostazione dell’autenticazione e-mail
To set up your domain to manage each authentication method, you need access to the DNS settings ( Domain Name System) through your domain registration service.
Una volta che accedi alle impostazioni DNS, aggiungerai vari record TXT e CNAME al tuo dominio.
Per scoprire i valori delle impostazioni del tuo dominio, dovrai controllare con i tuoi host di posta elettronica. Ti forniranno le impostazioni per i tuoi record SPF, genereranno il tuo selettore DKIM dall’interno della loro area di hosting, e ti mostreranno come implementare la tua politica DMARC, poiché gli host spesso differiscono nel modo in cui sono configurati.
You’ll add another TXT record to include a BIMI record, including the path to your brand image file .
SPF – Struttura della politica del mittente
SPF è l’autenticazione standard creata nei primi giorni dello sviluppo della posta elettronica. Mentre una volta era adatto ai primi sistemi di posta elettronica, presenta diversi problemi per i metodi di posta moderni. Ecco perché è necessario utilizzare tutti e quattro i metodi per fornire una forma di copertura completa.
SPF records are stored in plain text within the domain DNS and dictate the IP addresses with permission to send from the domain .
Quando il server e-mail del destinatario esegue una ricerca DNS per recuperare il record SPF, usa il valore nel percorso di ritorno del messaggio.
Problemi con l’autenticazione SPF
Syntax – Despite being text records, the syntax can get tricky when entering the DNS records . If they’re not precise, then authentication will fail, even if the message and sender are genuine.
Identificazione degli indirizzi IP approvati – I sistemi condivisi, come le piattaforme cloud, possono ospitare più servizi con indirizzi IP assegnati dinamicamente. Anche se l’IP può essere determinato e autorizzato, può anche consentire a chiunque altro di utilizzare lo stesso IP condiviso utilizzando il record SPF.
SPF can be spoofed – SPF uses the hidden return path field for authentication—not the ‘from’ field, which recipients can clearly view. A hacker, phishing for information, can present a valid looking domain and email address in the ‘from’ field, yet have their own email as the return-path, using their own authentication system to get through server checks.
SPF non supporta l’inoltro delle email – Un server ricevente non riuscirà a convalidare un messaggio inoltrato perché il dominio identificativo sembra essere quello del server di inoltro e non il dominio originale.
Come vedete, quello che una volta era un metodo accettabile è ora significativamente difettoso. Fornisce le basi su cui costruire per una maggiore sicurezza generale. Come metodo a sé stante, tuttavia, non è adatto alla tecnologia di oggi.
DKIM – DomainKeys Identified Mail
DKIM utilizza la crittografia a chiave pubblica/privata per firmare i messaggi e-mail. Verifica che le email siano state inviate dal dominio e che non siano state modificate in transito.
È un metodo di autenticazione più sicuro, in quanto assicura che il messaggio non sia stato alterato durante la consegna. Un altro vantaggio è che l’autenticazione DKIM sopravvive all’inoltro delle email.
The domain owner creates cryptographic keys in pairs: public and private. The public key is placed as a TXT record on the domain’s DNS. When an email is sent, a ‘hash’ is generated based on the contents of the message . This hash is encrypted with the domain’s private key and attached to the header of the email.
Il server di posta elettronica del destinatario legge le informazioni crittografate utilizzando la chiave pubblica ospitata nel DNS, e se tutto corrisponde, l’autenticazione è garantita.
Selettori DKIM
Ogni dominio può utilizzare diversi selettori. Questi valori sono usati per identificare proprietà uniche, per esempio, sottodomini, utenti, luoghi e servizi. Ogni selettore opera utilizzando la propria chiave pubblica, rinunciando a una singola chiave condivisa per tutte le eventualità.
Problemi con l’autenticazione DKIM
Mismatched signatures – A valid DKIM signature could use a completely different domain than that shown in the ‘from’ field. It makes phishing from another email domain a simple processo .
Sicurezza delle chiavi – Un hacker che firma i messaggi usando il dominio di un altro utente potrebbe far convalidare perfettamente le sue email usando la chiave privata di quel dominio.
Implementazione e gestione delle chiavi – Le chiavi lunghe e più sicure possono essere problematiche quando si applicano al dominio DNS. Queste lunghe stringhe di dati vengono facilmente applicate in modo errato, anche quando si fa un copia e incolla.
To get the best from DKIM, it needs to be partnered with DMARC, bringing the domain used in the ‘from’ field into play. You can see now how each system depends on its previous method to create a complete and effective authentication system.
DMARC – Segnalazione e conformità dei messaggi di dominio
As already mentioned, DMARC enforces the use of the domain set in the from field to prevenire hackers and attackers from using alternate domains to bypass safety checks.
Include anche un meccanismo di segnalazione che permette al mittente di decidere cosa fare con i risultati dell’autenticazione. Il record DMARC controlla dove e come i server destinatari inviano i rapporti.
In effetti, DMARC colma le lacune tra SPF e DKIM e aumenta la deliverability delle email. Gli spammer non possono più abusare di questi domini protetti; quindi, la reputazione del dominio si costruisce, migliorando sempre i tassi di deliverability.
Applicazione DMARC
Il record DMARC detta cosa fare con le email che non riescono ad autorizzare. La politica ha tre risultati: non fare nulla, mettere in quarantena o rifiutare. Un rapporto DMARC avvisa il titolare del dominio sulla provenienza di tali messaggi falliti, fornendo informazioni critiche sulla violazione e su cosa possono fare per prendere ulteriori misure di protezione.
BIMI – Indicatori di marca per l’identificazione del messaggio
Si spera che l’inclusione dell’autenticazione e-mail BIMI fornirà circa un aumento del 10% nell’impegno attraverso la consegnabilità – non è un numero da prendere alla leggera.
Dato che questo metodo di autenticazione è nella sua infanzia e ancora in attesa di essere introdotto da molti provider di posta elettronica, ci sono diversi passi che gli utenti possono fare per assicurarsi di essere pronti per un grande roll-out quando finalmente arriva sui nostri server.
Una cosa è certa, dato che Google sta includendo l’integrazione BIMI con G Suite, dovrebbe essere solo una questione di tempo prima che il resto del mondo lo raggiunga.
Come prepararsi al BIMI?
Per attivare l’autenticazione e-mail BIMI, dovete prima autenticare le vostre e-mail con SPF, DKIM e DMARC, assicurando l’allineamento (il dominio è lo stesso in tutto). La politica DMARC deve essere applicata a quarantena o rifiuto, e il DNS del dominio deve avere il record BIMI corretto.
Avrai anche bisogno di ospitare un file logo appropriato come link per l’autenticazione risultante da mostrare nelle caselle di posta dei tuoi destinatari. Il tuo logo dovrà essere nel formato SVG corretto e possibilmente un VMC (Verified Mark Certificate) per autenticare il file.
Autenticazione completa per le tue campagne email
We’ve learned that each one of these methods on its own won’t provide any kind of one-stop solution to make life simple. However, with a little work to bring each of the systems together as one, you’ll be far more secure in the delivery of your email campaigns and messages than you could ever be without them.
It’s worth the time and effort it takes if it ensures the protection of your service, your Abbonati and boosts the connectivity and returns on your marketing.
a Breslavia, 🇵🇱. Ospitato in 🇪🇺.
