{"id":29383,"date":"2022-07-21T10:47:21","date_gmt":"2022-07-21T10:47:21","guid":{"rendered":"https:\/\/easydmarc.com\/blog\/?p=29383"},"modified":"2023-05-11T11:54:43","modified_gmt":"2023-05-11T11:54:43","slug":"que-es-mta-sts-y-por-que-es-necesario","status":"publish","type":"post","link":"https:\/\/easydmarc.com\/blog\/es\/que-es-mta-sts-y-por-que-es-necesario\/","title":{"rendered":"\u00bfQu\u00e9 es MTA-STS y por qu\u00e9 es necesario?"},"content":{"rendered":"
Reforzar la seguridad de tu correo electr\u00f3nico es un proceso que lleva varios pasos, desde hace un tiempo hemos estado hablando sobre diversos temas relacionados a la seguridad de los mensajes de correo salientes, para lo cual es necesario aplicar pol\u00edticas DMARC; sin embargo, muchos propietarios de dominios todav\u00eda se preocupan por la seguridad del flujo de correo entrante.<\/span><\/p>\n En el a\u00f1o 2019, Google adopt\u00f3 la nueva <\/span>pol\u00edtica MTA-STS<\/b> la cual garantiza que todos los correos electr\u00f3nicos entrantes deben pasar por una capa de seguridad de transporte (TLS, seg\u00fan sus siglas en ingl\u00e9s). Este protocolo criptogr\u00e1fico cifra las comunicaciones y las protege durante el tr\u00e1nsito; dicha pol\u00edtica surgi\u00f3 para cubrir las debilidades de su sistema predecesor, STARTTLS.<\/span><\/p>\n STARTTLS como tal es un comando que solicita al servidor de correo que encripte la conexi\u00f3n, pero tiene una debilidad persistente: es una medida de protecci\u00f3n opcional que no permite enviar alguna forma de autenticaci\u00f3n del servidor, lo que hace que el comando en cuesti\u00f3n sea susceptible a ataques de intermediarios.<\/span><\/p>\n Ya que ha quedado claro que la necesidad de un cambio de pol\u00edtica es necesaria, podemos profundizar en lo <\/span>que es MTA-STS y c\u00f3mo funciona<\/b>.<\/span><\/p>\n La denominaci\u00f3n de esta pol\u00edtica en ingl\u00e9s se conoce como \u201cMail Transfer Agent-Strict Transport Security\u201d (MTA-STS), en espa\u00f1ol lo conocemos como \u201cAgente de transferencia de correo de seguridad estricta de transporte\u201d, este es un protocolo que encripta los correos electr\u00f3nicos entrantes a un servidor con una capa segura, lo cual permite la comunicaci\u00f3n encriptada TLS entre los servidores SMTP, lo que a su vez evita los ataques de intermediarios.<\/span><\/p>\n La <\/span>pol\u00edtica de MTA-STS<\/b> tiene como objetivo evitar que los atacantes o piratas inform\u00e1ticos alteren el contenido de un correo electr\u00f3nico o env\u00ede el contenido de este a otra direcci\u00f3n; a diferencia de STARTTLS, MTA-STS mantiene el TLS activo y le indica a los servidores de env\u00edo que tu servidor de correo solo acepta la entrega de mensajes a trav\u00e9s de una conexi\u00f3n segura.<\/span><\/p>\n Es probable que tengas la idea de que no existe tal cosa como la seguridad en l\u00ednea 100% garantizada, ya que la red est\u00e1 plagada de actores maliciosos que siempre est\u00e1n buscando mejorar y expandir sus m\u00e9todos de ataques en funci\u00f3n a cualquier nueva pol\u00edtica o protocolo que surja para bloquear sus ataques, estos nunca se detienen y siempre est\u00e1n innovando.<\/span><\/p>\n Es por eso que los nuevos protocolos siempre traen algo nuevo a la mesa, las <\/span>pol\u00edticas de DNS de MTA-STS<\/b> junto a los informes TLS es una forma confiable de hacer que tus comunicaciones por correo sean un poco m\u00e1s seguras siguiendo este procedimiento:<\/span><\/p>\n TLS est\u00e1 ah\u00ed para mantenerte actualizado sobre los informes de fallas y las correcciones que puedes implementar.<\/span><\/p>\n Hace alg\u00fan tiempo publicamos un art\u00edculo detanllado todos los aspectos necesarios del Protocolo simple de transferencia de correo (SMTP) y la capa de seguridad de transporte (TLS), por lo que es probable que est\u00e9s familiarizado con su funcionamiento y con los informes TLS.<\/span><\/p>\n Ahora es el momento de aprender m\u00e1s acerca de lo que significan los informes TLS para los <\/span>servidores con MTA-STS<\/b>; b\u00e1sicamente lo que necesitas saber es que, si la pol\u00edtica est\u00e1 configurada para \u00abaplicar\u00bb y la conexi\u00f3n TLS falla, tus mensajes no ser\u00e1n enviados a tu bandeja de entrada, despu\u00e9s de algunos intentos adicionales, el correo rebotar\u00e1 (es decir, volver\u00e1 al remitente).<\/span><\/p>\n Pero, \u00bfc\u00f3mo podemos saber cu\u00e1ntas conexiones fallaron? Es aqu\u00ed donde los informes TLS entran al juego, ya que su funci\u00f3n es informarte sobre los correos que pasaron y fallaron la conexi\u00f3n.<\/span><\/p>\n Al igual que los informes de DMARC, TLS informa sobre conexiones fallidas y se\u00f1ala por qu\u00e9 sucedieron estas incidencias; generalmente las fallas pueden ocurrir por tres razones espec\u00edficas:<\/span><\/p>\n La cadena contiene:<\/span><\/p>\n Aqu\u00ed puedes ver un ejemplo de una cadena de registro DNS:<\/span><\/p>\n \u201cv=TLSRPTv1; rua=mailto:tlsrpt@example.com,https:\/\/tlsrpt.example.com\/v1\u201d<\/span><\/p>\n A diferencia de los informes XML de DMARC, los informes SMTP TLS son f\u00e1ciles de leer y comprender; los informes est\u00e1n presentados como archivos en formato JSON y generalmente muestran los siguientes componentes:<\/span><\/p>\n A pesar de la sencillez de los reportes, sigue siendo preferible leerlo en un formato legible y f\u00e1cil de comprender, tal como lo hace EasyDMARC.<\/span><\/p>\n MTA-STS es una pol\u00edtica que verifica la conexi\u00f3n TLS en cada mensaje de correo que es enviado a tu ecosistema, que le indica al servidor SMTP de env\u00edo que la comunicaci\u00f3n con tu servidor de correo debe estar encriptada y que el nombre del dominio en el certificado TLS y la pol\u00edtica deben coincidir; tal como describimos anteriormente, este proceso garantiza que todas las comunicaciones enviadas a tu bandeja de entrada est\u00e9n debidamente encriptadas. <\/span><\/p>\n La pol\u00edtica contiene un mecanismo que se divide en dos partes: el <\/span>archivo MTA-STS<\/b> publicado en un servidor web habilitado para HTTPS y un registro DNS .TXT que informa a los remitentes que su dominio es compatible con tu <\/span>pol\u00edtica MTA-STS<\/b>.<\/span><\/p>\n Una vez que todo est\u00e9 configurado debidamente, recibir\u00e1s informes a trav\u00e9s de TLS-RPT indicando todos los fallos y problemas que puedan tener tus comunicaciones; es importante tener presente que los servidores de env\u00edo almacenan en cach\u00e9 el <\/span>archivo MTA-STS<\/b> y lo usan repetidamente durante un per\u00edodo determinado en los documentos; una vez que estos expiran, los servidores solicitan el archivo nuevamente.<\/span><\/p>\n Llegado a este punto, probablemente comprendes mejor los <\/span>principios b\u00e1sicos de MTA-STS<\/b>, por lo que ahora podemos profundizar en los dos componentes de la pol\u00edtica.|<\/span><\/p>\n Ya hemos discutido que MTA-STS es un archivo .TXT ejecutado a trav\u00e9s de HTTPS, ahora vamos a ver qu\u00e9 es lo que contiene; es probable que supongas (correctamente) que al estar lidiando con un archivo .TXT simple, este debe tener una sintaxis espec\u00edfica para que el servidor de env\u00edo pueda leerlo e interpretarlo debidamente, dicho archivo debe contener los siguientes componentes:<\/span><\/p>\n Para que un remitente \u00absepa\u00bb que debe hacer <\/span>uso de la pol\u00edtica MTA-STS<\/b>, es necesario configurar el registro del DNS; si te diriges a los archivos de pol\u00edticas podr\u00e1s apreciar que contienen los siguientes componentes:<\/span><\/p>\n No todos los servidores pueden manejar la pol\u00edtica de seguridad de transporte estricta de MTA, ya que es necesario seguir algunos requisitos que deben ser verificados antes de comenzar la configuraci\u00f3n:<\/span><\/p>\n Configurar la <\/span>pol\u00edtica MTA-STS<\/b> para tu DNS es un proceso relativamente sencillo, debes tener en cuenta que sin importar que tan deseable sea alcanzar la codiciada pol\u00edtica de \u00abenforce\u00bb, realizar avances progresivos en el modo de \u00abprueba\u00bb requiere de mucha atenci\u00f3n y cuidado (de lo contrario, es posible que se pierdan un mont\u00f3n de correos cruciales de remitentes importantes).<\/span><\/p>\n A continuaci\u00f3n, te describimos un par de pasos a seguir antes de crear el registro para el DNS y el <\/span>archivo MTA-STS<\/b>:<\/span><\/p>\n Ahora que est\u00e1 todo listo, puedes comenzar el proceso de implementaci\u00f3n de tres pasos:<\/span><\/p>\n En primer lugar, debes crear el <\/span>archivo de las pol\u00edticas de MTA-STS<\/b>, siguiendo la sintaxis que discutimos anteriormente, recuerda establecer el modo en \u00abprueba\u00bb primero para apreciar el funcionamiento de la pol\u00edtica.<\/span><\/p>\n Aseg\u00farate de poder acceder al archivo en la WEB cuando este sea solicitado, para que los remitentes puedan encontrarlo una vez que el registro del DNS los dirija a este. Ten presente que la URL debe seguir esta sintaxis:<\/span><\/p>\n https:\/\/mta-sts.example.com\/.well-known\/mta-sts.txt<\/span><\/p>\n Esto significa que debe crear una carpeta \u00ab.well known\u00bb y colocar el documento en esta.<\/span><\/p>\n Ya hemos discutido este simple comando para el DNS anteriormente, aqu\u00ed solo necesitas publicarlo, confirmarlo y pasar a la siguiente fase, la configuraci\u00f3n de TLS.<\/span><\/p>\n A continuaci\u00f3n, te toca crear la entrada DNS TLS, tal como se mencion\u00f3 anteriormente para que puedas empezar a recibir los informes; no olvides que esta es una <\/span>prueba del MTA-STS<\/b>, una vez que veas que todo funciona correctamente, puedes pasar al siguiente paso.<\/span><\/p>\n Despu\u00e9s de la <\/span>prueba inicial del MTA-STS<\/b>, puedes configurar el \u00abmodo:\u00bb en el <\/span>archivo MTA-STS<\/b> para \u00abaplicar\u00bb lo cual filtrar\u00e1 los correos electr\u00f3nicos que no est\u00e9n encriptados.<\/span><\/p>\n El \u00faltimo paso es no olvidar actualizar el DNS con la nueva ID de la versi\u00f3n de la pol\u00edtica que tienes en uso.<\/span><\/p>\n EasyDMARC es una empresa que siempre se ha enfocado en la protecci\u00f3n; la pol\u00edtica DMARC protege tu empresa interna y externamente, pero, aun as\u00ed, la seguridad de las comunicaciones entrantes son un problema constante. La <\/span>pol\u00edtica MTA-STS<\/b> es solo un paso m\u00e1s para detener la pirater\u00eda inform\u00e1tica y el espionaje cibern\u00e9tico, tambi\u00e9n es una forma eficaz de enfrentar la manipulaci\u00f3n de comunicaciones y los ataques de degradaci\u00f3n.<\/span><\/p>\n Como ya hemos discutido <\/span>c\u00f3mo funciona MTA-STS<\/b>, te invitamos a explorar las nuevas herramientas y procesos incluidos en esta pol\u00edtica. La aplicaci\u00f3n de esta medida de seguridad requiere de harta paciencia y minuciosidad. <\/span><\/p>\n El camino a la consolidaci\u00f3n de un correo electr\u00f3nico seguro en ocasiones se vuelve abrumador, por las demandas a nivel t\u00e9cnico, sin embargo, nada supera la tranquilidad de un buz\u00f3n de correo seguro una vez que aprecias estos mecanismos trabajando para tu empresa u organizaci\u00f3n. Reforzar la seguridad de tu correo electr\u00f3nico es …<\/p>\n","protected":false},"author":6,"featured_media":28913,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"jetpack_post_was_ever_published":false,"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":""},"categories":[472,203,393],"tags":[],"class_list":["post-29383","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog-es","category-email-security","category-seguridad-de-los-correos-electronicos"],"acf":[],"yoast_head":"\n\u00bfQu\u00e9 es MTA-STS?<\/b><\/h2>\n
\u00bfPor qu\u00e9 necesitas los informes que generan MTA-STS y TLS?<\/b><\/h2>\n
\n
\u00bfQu\u00e9 son los informes SMTP TLS?<\/b><\/h2>\n
\n
\n
La estructura del informe TLS<\/b><\/h2>\n
\n
\u00bfC\u00f3mo funciona el MTA-STS?<\/b><\/h2>\n
El archivo MTA-STS<\/b><\/h2>\n
\n
El registro de DNS de MTA-STS<\/b><\/h2>\n
\n
\u00bfCu\u00e1les son los requisitos para aplicar MTA-STS?<\/b><\/h2>\n
\n
Implementando la pol\u00edtica MTA-STS<\/b><\/h2>\n
\n
Paso 1. Crea el archivo de la pol\u00edtica<\/b><\/h3>\n
Paso 2. Sube el archivo .TXT a la WEB<\/b><\/h3>\n
Paso 3. P\u00fablica el registro del DNS<\/b><\/h3>\n
Paso 4. Configura el TLS-RPT<\/b><\/h3>\n
Paso 5. Cambie el modo a \u00abAplicar\u00bb<\/b><\/h3>\n
Paso 6. Actualiza la ID para la versi\u00f3n de tu registro del DNS<\/b><\/h3>\n
Resumen<\/b><\/h2>\n
\n<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"