¿Es posible demostrar la autenticidad de un email?

En la sesión de ayer del Congreso de la Abogacía hubo una sesión que se presentaba como interesante respecto al uso de los correos electrónicos como pruebas dentro de un proceso, y los problemas que se podían dar en la práctica.

La charla, con algunos puntos que quedaron bastante flojos en mi opinión, sí recalcó el problema en la forma en que se aporta un email al proceso. El correo, efectivamente, no se encuentra únicamente constituido por el texto que podemos leer desde nuestros clientes, sino que incluye información adicional en sus cabeceras, que muchas veces se pierde por desconocimiento.

Dicho esto, se realizó una afirmación excesivamente a la ligera según la cual era imposible probar la autenticidad o la inautenticidad de un correo electrónico si yo me dedico a modificarlo una vez los prestadores ya no almacenan información al respecto.

Nunca hay que hacer una afirmación tan categórica y generalizada, más cuando hablamos de correos electrónicos que pueden ser implementados de diversas formas. De hecho, y lo siento por el ponente, sí que existen mecanismos  para probar la autenticidad del contenido del correo electrónico en muchos casos. Uno de los ejemplos es el uso de DKIM como mecanismo de autenticación de correo electrónico en nuestro servidor. Un mecanismo que, pese a su importancia, aún es el gran desconocido en el ejercicio de multitud de actividades y ello pese a la importancia que tiene el correo electrónico en su día a día.

¿Pero qué es DKIM?

DKIM es un sistema que permite a través de la comprobación de las cabeceras del mensaje verificar si el mensaje se ha originado realmente en el servidor y si el contenido no ha sido alterado. Esto se realiza a través de un mecanismo de firma digital que incluye tanto el contenido como las cabeceras

En muchos servidores el no utilizar DKIM (a veces junto con otras soluciones como SPF) supone que nuestro mensaje se identifique como SPAM. Muchos pensaréis que no utilizáis este tipo de herramientas, pero si vuestro correo utiliza la plataforma de Google (por ejemplo) dichas cabeceras están siendo añadidas de forma transparente y pueden ser verificadas por los receptores de vuestros mensajes.

Si abrimos el mensaje original y vemos las cabeceras, un correo en que se incluya la firma DKIM contendrá una llamada «DKIM-Signature» como la siguiente

Dado que la firma pública se encuentra disponible como un registro TXT en las DNS que dan acceso a nuestro dominio, el receptor puede verificar efectivamente el contenido del mensaje y sus cabeceras (quedan fuera algunos elementos como el return-path, pero no son importantes a los efectos que estamos analizando ahora mismo).

Por lo tanto, generalizar y decir que no puede probarse la autenticidad del contenido de un determinado correo es directamente falso. Puede haber casos en los que resulte muy difícil o imposible, pero decir directamente que no es posible no puede aceptarse.

¿Debería usar DKIM si no lo hago ya?

La pregunta real sería qué haces que no vas corriendo a hacerlo. Instalarte un servidor de correo propio y no preocuparte de instalar este tipo de mecanismos (y otros igualmente importantes) puede provocar que tus mensajes (que pueden ser muy importantes) acaben en la bandeja de spam o peor, rechazados por algunos servidores.

Un servidor de correo con una configuración deficiente no hará más que dificultar tu trabajo, así que piénsalo bien antes de optar por un proveedor u otro, o instalarte un servidor propio.