Anti-mistificação da identidade para domínios personalizados (SPF, DKIM e DMARC)

Embora existam grandes benefícios na natureza aberta e descentralizada do e-mail, esta liberdade também o torna fácil de abusar. Por exemplo, qualquer servidor ligado à internet pode enviar um e-mail ao seu amigo fingindo ser de si, um ataque conhecido como mistificação da identidade.

Recomendamos vivamente que todos os que utilizam um domínio personalizado com o Proton Mail configurem o SPF, o DKIM e o DMARC para garantir que os seus e-mails são entregues corretamente.

Continue a ler para ver como podemos proteger o seu domínio personalizado deste tipo de ataques.

SPF

O registo Sender Policy Framework (SPF) indica basicamente ao mundo quais os anfitriões ou IPs que estão autorizados a enviar e-mails do seu domínio. Quando os servidores de e-mail recebem um e-mail que afirma ser do seu domínio, podem consultar o seu registo SPF para verificar se o servidor de envio está incluído.

Embora não seja obrigatório, recomendamos vivamente que configure um registo SPF que inclua o Proton Mail.

Isto não só fará com que o seu e-mail pareça mais legítimo e, portanto, tenha menos probabilidade de ser enviado para pastas de spam, mas também ajudará a proteger o seu domínio de atacantes que enviam e-mails com cabeçalhos falsificados a fingir que são de si.

No seu navegador, inicie sessão na sua conta Proton Mail, aceda a Definições → Todas as definições → Nomes de domínio, e clique em Rever ao lado do domínio para o qual pretende adicionar um registo SPF.

Selecione o separador SPF. Este mostra o registo SPF recomendado para adicionar ao portal de gestão de domínios do seu agente de registo. Pode clicar no pequeno ícone à esquerda da entrada para o copiar para a área de transferência do seu sistema.

A parte “include:_spf.protonmail.ch” da cadeia de texto significa que autoriza os servidores do Proton Mail a enviar mensagens em nome do seu domínio. Se pretender manter um registo SPF existente, basta adicionar a cadeia de texto “include:_spf.protonmail.ch” à direita do seu registo existente, após “v=spf1”. O “mx” também inclui os registos MX do seu domínio.

A parte “~all” significa que, se o e-mail for enviado a partir de servidores não incluídos na cadeia de texto, será tratado como um SoftFail. Isto significa que o servidor de e-mail recetor aceitará a entrega do e-mail, mas irá marcá-lo como SPF falhou. A alternativa é utilizar o parâmetro “-all” (HardFail).

Isto fará com que o e-mail seja rejeitado, o que pode causar problemas de entrega para e-mails legítimos. Por exemplo, o SPF falha frequentemente durante o encaminhamento de e-mail, onde envia para o endereço A, que encaminha automaticamente para o endereço B. Assim que detetarmos que o registo SPF do seu domínio inclui o Proton Mail, o separador SPF mostrará um ícone de marca de verificação verde.

DKIM

O Domain Keys Identified Mail (DKIM) é um método de autenticação de e-mail que verifica criptograficamente se um e-mail foi enviado por servidores de confiança e não foi adulterado.

Basicamente, quando um servidor envia um e-mail utilizando o seu domínio, calcula um hash encriptado do conteúdo do e-mail utilizando uma chave privada (que apenas os servidores de confiança conhecem) e adiciona-o aos cabeçalhos do e-mail como uma assinatura DKIM.

O servidor recetor verificará o conteúdo do e-mail procurando a chave pública correspondente nos registos DNS do seu domínio, desencriptando o hash encriptado e calculando um novo hash com base no conteúdo do e-mail que recebeu. Em seguida, compara o hash desencriptado com o novo hash. Se houver correspondência, o e-mail não foi adulterado e o DKIM é aprovado. Caso contrário, o DKIM falha e o e-mail é tratado com suspeita.

Saiba mais sobre a gestão de DKIM(nova janela)

Utilizamos registos CNAME para gerir a rotação automática de chaves DKIM, o que é uma prática recomendada de segurança aceite. Solicitamos que adicione e mantenha três registos CNAME. Isto garante que existe sempre uma chave ativa utilizada para fornecer um serviço ininterrupto, enquanto as outras chaves são automaticamente retiradas e recriadas de forma regular para uma maior segurança.

Tudo isto parece complicado, mas a implementação do DKIM para o seu domínio é simples no Proton Mail. Demorará um par de horas a verificar o seu domínio personalizado quando alterar os seus registos DNS pela primeira vez para utilização com o Proton Mail. Assim que o seu domínio personalizado for verificado, o Proton Mail gerará os nomes de anfitrião e os valores de que necessitará para o portal de DNS do seu domínio. Criará então os registos CNAME necessários para a rotação automática de chaves DKIM.

Enviaremos uma notificação por e-mail a informar que o seu domínio personalizado, nomes de anfitrião e valores estão prontos.

Novos utilizadores

No seu navegador, inicie sessão na sua conta Proton Mail e aceda a Definições → Todas as definições → Organização → Nomes de domínio → coluna Ações → botão Rever ao lado do domínio para o qual pretende adicionar um registo DKIM.

Selecione o separador DKIM. Aqui verá os três nomes de anfitrião e valores que terá de adicionar às definições de DNS do seu domínio.

Depois de adicionar estes registos, o Proton Mail tratará do resto por si. Seguindo as melhores práticas de segurança atuais, geraremos uma nova chave de 2048 bits a cada seis meses e utilizá-la-emos para assinar os seus e-mails.

Os registos CNAME que adicionar às definições de DNS do seu domínio devem corresponder exatamente aos apresentados no seu assistente de configuração. Assim que detetarmos estes registos no seu DNS, o separador DKIM mostrará um ícone de marca de verificação verde. Iremos então notificá-lo e começar a assinar os e-mails enviados a partir do seu domínio personalizado com DKIM, tal como fazemos para outros endereços do Proton Mail.

IMPORTANTE: Alguns agentes de registo não aceitam valores CNAME com um ponto final no fim (enquanto outros o exigem). Se o seu agente de registo não aceitar os seus registos CNAME, elimine o ponto final no fim de cada valor CNAME e tente novamente.

Utilizadores que utilizam atualmente a rotação manual de chaves DKIM

Aconselhamos vivamente todos os que utilizam atualmente a rotação manual de chaves DKIM a atualizar para o novo sistema automático de rotação de chaves. Isto não só eliminará a necessidade de rodar as suas chaves manualmente, como também atualizará automaticamente a segurança da sua chave (se estiver a utilizar chaves de 1024 bits).

Se tiver configurado anteriormente a rotação manual de chaves DKIM para o seu domínio utilizando um registo TXT, tem de remover este registo das definições de DNS antes de introduzir os registos CNAME.

Precisa de reconfigurar as suas definições de DNS com registos CNAME porque estes permitem-nos configurar a rotação automática de chaves, enquanto o seu registo TXT atual não o permite.

Depois de eliminar este registo TXT, pode seguir as instruções para novos utilizadores. O DKIM deixará de assinar os seus e-mails assim que eliminar o registo TXT. Para manter a proteção DKIM, deve introduzir imediatamente os seus nomes de anfitrião CNAME e valores nas suas definições de DNS.

DMARC

Ao aprender sobre o SPF e o DKIM (acima), pode ter-se perguntado como é que o servidor recetor lida com um e-mail que falha as verificações. É aqui que entra o Domain-based Message Authentication, Reporting, and Conformance (DMARC).

O DMARC permite ao proprietário do domínio especificar o que acontece com os e-mails que falham e obter feedback quando estes chegam. Basicamente, existem três ações que os servidores recetores podem tomar se AMBAS as verificações SPF e DKIM falharem: none, quarantine, e reject.

No seu navegador, inicie sessão na sua conta Proton Mail e aceda a Definições → Ir para as definições→ Organização → Nomes de domínio → coluna Ações → botão Rever ao lado do domínio para o qual pretende adicionar um registo DMARC.

Copie o nome de anfitrião DMARC TXT e a cadeia de valor e adicione-os ao seu domínio na consola de gestão de domínios do seu agente de registo.

O valor “p=” especifica a ação a tomar para os e-mails que falham o DMARC. Eis as ações disponíveis:

• p=quarantine: solicitar às plataformas destinatárias que marquem os e-mails não autorizados como spam ou que os coloquem em quarentena.
• p=reject: solicitar às plataformas destinatárias que rejeitem os e-mails não autorizados.
• p=none: não colocar em quarentena nem rejeitar e-mails não autorizados. Geralmente, as pessoas apenas utilizam esta política para resolução de problemas ou testes.

A predefinição é none. No entanto, para melhorar a sua segurança, recomendamos que defina este valor para p=quarantine.

Assim que tiver a certeza de que os seus e-mails legítimos estão a passar no DMARC, poderá querer defini-lo de forma ainda mais agressiva para p=reject. Recomendamos que o faça se considerar que é um alvo provável de mistificação da identidade de e-mail. Por exemplo, o Yahoo, o PayPal e o eBay utilizam p=reject para evitar que os spammers se façam passar por eles.

Outro parâmetro é rua=, que especifica um endereço de e-mail para onde outros serviços de e-mail podem enviar relatórios agregados para que possa ver quantos dos seus e-mails estão a falhar o DMARC.

No entanto, tenha em atenção que existem riscos ao escolher ações DMARC mais agressivas. Por exemplo, quando envia um e-mail para uma lista de correio que depois encaminha para destinatários individuais, isso quebrará o SPF. De forma irritante, algumas listas de correio também alteram o conteúdo do e-mail, o que quebra o DKIM e faz com que o DMARC falhe, criando problemas de entrega se tiver definido o DMARC para quarantine ou reject. É por isso que o DMARC está definido para none por predefinição.

Testar e-mail

Depois de ter um domínio personalizado configurado, pode testá-lo enviando um e-mail utilizando o Mail Tester(nova janela).

Basta enviar um e-mail utilizando o seu endereço de domínio personalizado para o endereço exclusivo apresentado na página web do Mail Tester. Em seguida, verifique a sua classificação de spam.

Se tiver o SPF e o DKIM corretamente definidos, deverá conseguir uma pontuação de 10/10!