Google e Yahoo spingono DMARC, costringendo le aziende a recuperare terreno

Entro febbraio 2024, qualsiasi azienda che invii più di 5,000 messaggi e-mail tramite Google o Yahoo dovrà iniziare a utilizzare una tecnologia di autenticazione nota come Domain-based Message Authentication Reporting and Conformance (DMARC).

I requisiti - annunciati da Google ed Yahoo questa settimana, raggiungerà tuttavia risultati molto più elevati rispetto ai professionisti del marketing, costringendo tutte le aziende rimaste indietro nell’adozione del trio di tecnologie di sicurezza a recuperare terreno. Le aziende che utilizzano Sender Policy Framework (SPF) e DomainKeys Identified Mail (DKIM) otterranno protezione contro la rappresentazione attraverso una migliore autenticazione, mentre DMARC crea un canale di notifica al proprietario del nome di dominio per raccogliere informazioni sull'eventuale spoofing della sua email.

I requisiti di due grandi provider dovrebbero spingere più aziende ad adottare DMARC fino a quando l'adozione non raggiungerà un livello in cui saranno possibili misure di sicurezza più efficaci, afferma Neil Kumaran, product manager del gruppo Gmail Security & Trust di Google.

"Adottando DMARC nelle modalità da noi richieste, i mittenti iniziano a ricevere molte informazioni che li aiuteranno a identificare i problemi con la loro configurazione [e] le cose che potrebbero voler cambiare", afferma. "Quindi c'è un vantaggio materiale per il mittente nell'adottare DMARC e nel pensare a queste cose collettivamente."

Il trio di tecnologie di sicurezza della posta elettronica ha visto un’adozione accelerata negli ultimi anni, soprattutto durante la pandemia di coronavirus, quando le aziende sono state costrette a operare in remoto. Di conseguenza, circa la metà dei mittenti di posta elettronica ha un record DMARC, ma solo il 14% ha impostato DMARC per applicare una rigorosa politica di quarantena o rifiuto, ampiamente considerato l’obiettivo finale, secondo i dati di Valimail, un fornitore di servizi DMARC. Circa la metà di tutte le aziende hanno stabilito il proprio record DMARC per applicare una politica rigorosa. Tuttavia, solo 1% dei domini no-profit avere DMARC configurato.

I requisiti di Google e Yahoo rappresentano un buon inizio e il mercato non è pronto per requisiti più severi. Ma Seth Blank, chief technology officer di Valimail, spera che i principali provider di posta elettronica alzino rapidamente il livello.

"Penso che sia assolutamente fantastico, ma penso che non sia abbastanza lontano", dice. “Sono entusiasta che abbiano alzato il livello, ma quello che abbiamo ora sono un insieme di migliori pratiche del settore che vengono applicate in modo incoerente. Ci sono un paio di mittenti di grandi volumi che lo fanno bene, e poi ci sono tutti gli altri, ed è per questo che l'abuso è così diffuso nell'ecosistema."

Espansione dell'adozione della sicurezza e-mail

Nel suo post sul blog, Google ha delineato i propri requisiti, inclusi i record SPF e DKIM per l'autenticazione dei domini di invio di e-mail; un record DMARC per il dominio; e un'intestazione "Da" che corrisponde al record SPF o DMARC, noto come "allineamento". Inoltre, gli esperti di marketing devono avere tassi di spam inferiori allo 0.3% e offrire la possibilità di annullare l'iscrizione con un solo clic.

Google applicherà le nuove regole a chi invierà più di 5,000 messaggi a indirizzi Gmail in un dato giorno. Yahoo applicherà i requisiti ai "mittenti di massa", ma il suo post sul blog non definisce ciò che costituisce un mittente di massa. I requisiti dovranno essere soddisfatti entro febbraio 2024 per Google e “nel primo trimestre del 2024” per Yahoo.

L'annuncio di Google, insieme alla mossa di corrispondenza di Yahoo!, significa che l'adozione di DMARC non è più un suggerimento, ha scritto Len Shneyder, vicepresidente delle relazioni industriali presso Twilio SendGrid, un servizio di email marketing. un blog sulle novità.

"[Con] anche le notizie di Yahoo, puoi considerare questa la nuova normalità", ha scritto. “I nuovi requisiti segnano un cambiamento nel modo in cui il settore vede l’autenticazione e-mail e le migliori pratiche: quello che una volta era un insieme di raccomandazioni sta ora diventando un insieme di requisiti applicabili”.

Google prevede che i requisiti porteranno a un'adozione quasi completa dell'autenticazione e-mail sulla sua piattaforma. Attualmente l'azienda elabora circa 15 miliardi di e-mail ogni giorno e il numero di messaggi non autenticati è diminuito del 75% poiché l'azienda richiede che ogni messaggio venga qualche forma di autenticazione.

L'autenticazione è solo l'inizio

L'obiettivo dei requisiti DMARC è garantire che tutte le e-mail legittime abbiano impostato record DMARC con il proprio servizio DNS, fornendo informazioni di autenticazione da verificare rispetto alle intestazioni di tutti i messaggi e-mail ricevuti. Quasi tutti i provider di posta elettronica riporteranno le informazioni sull'allineamento DMARC al proprietario autorevole di un dominio.

Per questo motivo, una migliore identificazione delle fonti e una più forte identificazione dei messaggi sono fondamentali per migliorare la tecnologia della posta elettronica, afferma Kumaran di Google.

"L'autenticazione in sé non è la soluzione miracolosa per fermare lo spam, ma consente a tutti di comprendere meglio il flusso di posta elettronica", afferma. "Mi aspetto che i filtri inizieranno a rilevare questi modelli, a sfruttare i vantaggi dell'autenticazione e a svolgere un lavoro migliore: dovremmo vedere gli impatti su tutta la linea."

Una volta effettuata l'autenticazione del mittente, i fornitori di sicurezza e i provider di posta elettronica possono filtrare meglio il traffico dannoso, afferma Blank.

"Hai il controllo di chi è autorizzato a inviare come te, il che significa che nel momento in cui il messaggio arriva a qualsiasi fornitore di caselle di posta, in tutto il mondo, l'autenticazione è attiva e sono in grado di sfruttare DMARC", ha dice. "I messaggi falsificati o autenticati non arrivano mai alle caselle di posta degli utenti, quindi otteniamo questa immunità e protezione su larga scala, ben al di fuori solo di Google e Yahoo, dove ci sono i requisiti."

Aspettatevi soluzioni alternative

Mentre i requisiti spingeranno probabilmente tutte le società di marketing legittime a ottimizzare le proprie configurazioni di sicurezza della posta elettronica, le aziende dovrebbero aspettarsi che i malintenzionati trovino comunque modi per inviare spam, phishing e malware, afferma Raf Marconi, consulente senior presso Bishop Fox.

"Un utente malintenzionato può rimanere al di sotto delle soglie o utilizzare servizi legittimi per evitare di essere influenzato dai requisiti", afferma, aggiungendo: "Questi nuovi requisiti dovrebbero avere qualche effetto sul livello di spam e phishing, ma è difficile da valutare quanto prima che i requisiti siano stati implementati e dipende anche dalla corretta implementazione di DKIM, SPF e DMARC."

In un recente rapporto, la società di servizi Internet Cloudflare lo ha scoperto L'89% dei messaggi viene bloccato come spam disponevano di informazioni SPF, DKIM o DMARC corrette, sottolineando che le tecnologie sono parte dell'equazione, ma non l'intera soluzione, afferma Oren Falkowitz, CSO sul campo di Cloudflare.

“Per questo motivo è inutile fare affidamento esclusivamente su standard che tracciano le informazioni del mittente per rilevare e interrompere le campagne”, afferma. "Per risolvere i danni reali, i team di sicurezza devono identificare e controllare i payload, i file, i collegamenti e le richieste dannose che comprendono il phishing e che causano danni."

Blank di Valimail ha rafforzato questo punto.

“I cattivi attori tendono ad essere i primi a seguire le migliori pratiche”, afferma. “Il presupposto che avere SPF, DKIM o DMARC significhi che la posta è buona è sbagliato. Ciò significa che sappiamo da chi proviene la posta e questo è fondamentale per prendere decisioni sulla reputazione”.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/dr-tech/google-yahoo-push-dmarc-forcing-companies-to-catch-up