Què és DMARC i per què la teva empresa el necessita

En una carta de paper, qualsevol pot escriure el teu nom al sobre. Al correu electrònic passa exactament el mateix: SMTP, el protocol que mou el correu per internet des de fa quatre dècades, va néixer sense un mecanisme fort per comprovar que el remitent és qui diu ser. Qualsevol servidor del món pot enviar avui un missatge que digui venir del teu domini. I si ningú no ho comprova, el destinatari el veurà com a teu.

SPF, DKIM i DMARC existeixen per tancar aquest forat. Són tres controls que el servidor que rep un correu aplica abans de lliurar-lo, i cadascun respon una pregunta molt concreta:

• SPF pregunta: aquest servidor està autoritzat a enviar correu en nom d’aquest domini? El propietari del domini publica al DNS — el directori públic d’internet — la llista de servidors que poden enviar per compte seu.
• DKIM pregunta: el missatge ve signat i ha arribat sense alterar? El servidor emissor hi afegeix una signatura criptogràfica: un segell que es trenca si algú en modifica el contingut pel camí.
• DMARC pregunta allò decisiu: el que s’ha validat coincideix amb el domini que l’usuari veu al «De:»? Perquè un missatge pot superar comprovacions tècniques i tot i així mostrar un remitent fals. I si no coincideix, DMARC defineix què fer-ne — acceptar-lo, enviar-lo a quarantena o rebutjar-lo — i a qui avisar de cada intent.

El diagrama de sota mostra aquest viatge complet: tres controls, tres destins possibles i un informe que torna al propietari del domini.

Per què li hauria d’importar, això, a un director d’empresa? Pel frau del CEO, el Business Email Compromise: un correu que sembla del director general demana una transferència urgent, o un proveïdor de tota la vida «avisa» que ha canviat de compte bancari. I hi ha un detall que gairebé ningú no coneix: en molts casos, ni la teva empresa ni la del teu proveïdor no han estat atacades. N’hi ha prou que un tercer que va participar en la conversa — una altra empresa, una altra persona del fil — tingui la bústia compromesa. Amb això, l’atacant coneix noms, assumptes, factures i fils reals, i construeix un engany convincent.

Aquí hi ha la diferència entre tenir DMARC i operar DMARC. Publicar tres registres DNS és només el punt de partida: un registre que ningú no analitza protegeix poc. Cada dia, els servidors que reben correu en nom del teu domini — Microsoft, Google i milers més — generen informes tècnics i els envien al propietari del domini. Nosaltres els rebem i els analitzem, amb el suport d’automatització i intel·ligència artificial per classificar el volum: detectem intents de suplantació, trobem serveis legítims mal declarats — aquella plataforma de facturació o de màrqueting que envia per tu sense estar autoritzada —, endurim la política de manera progressiva sense bloquejar correu legítim i t’ho expliquem en informes periòdics que s’entenen. El resultat és mesurable: als dominis que gestionem, la protecció DMARC arriba al 95–100 % del correu.

Això s’aplica igual si el teu correu viu a Microsoft 365 o al nostre correu privat. En el segon cas anem un pas més enllà: creuem els informes DMARC amb els registres reals del servidor, i contrastem el que els servidors del món diuen haver vist amb el que els nostres sistemes van enviar, rebre o bloquejar de debò.

Què hi guanyes, tu? Tres coses concretes. Que el teu domini deixi de servir per enganyar els teus clients i proveïdors. Que el teu correu legítim arribi millor, perquè l’autenticació correcta millora el lliurament. I visibilitat: saber qui envia en nom teu, des d’on i amb quin resultat.

Una última honestedat: DMARC no ho atura tot. Si un compte legítim ha estat compromès, els seus missatges s’autenticaran correctament; per a això hi ha altres capes. Per això DMARC és una peça — essencial, però una peça — dins de la seguretat del correu que operem, juntament amb la defensa contra el frau del CEO, el doble factor i l’anàlisi forense.