ZI² Books
Una certificación que el remitente no puede falsificar.
SPF, DKIM y DMARC verifican un dominio. ZI² Certified verifica el servidor. Juntos cierran la brecha que permite a un atacante enviar una suplantación convincente desde infraestructura alquilada.
La brecha
El phishing moderno rara vez falla la autenticación. Un atacante registra un dominio parecido, lo aloja en una dirección limpia, publica SPF, DKIM y DMARC correctos y envía. Todas las comprobaciones pasan. El correo sigue siendo un fraude.
La señal que falta es la identidad del servidor. SPF dice que una dirección puede enviar por un dominio. DKIM dice que el contenido no se alteró. Ninguno dice esta es la máquina que siempre envía por nosotros, y usted ya ha visto su clave.
Dirección
¿Puede enviar esta dirección?
Contenido
¿Se alteró el cuerpo?
Política
¿Qué hacer si falla?
Servidor
¿Qué máquina lo envió?
Cómo funciona
Generar un par de claves
Un solo comando en el servidor de envío. La clave privada nunca sale de la máquina. La clave pública recibe un identificador corto, el
kid.Publicar la clave pública
Un único registro TXT en
_zi2cert.<kid>.<dominio>contiene la clave pública en base64. El mismo plano DNS que DKIM, así que no hay infraestructura nueva que operar.Firmar cada mensaje
El servidor de envío firma el remitente, el destinatario, el asunto, la fecha, el identificador del mensaje y un hash del cuerpo, y añade un encabezado
X-ZI2-Certifiedcon la firma, el kid y el nombre del servidor.Los receptores verifican en milisegundos
El servidor receptor obtiene la clave, verifica la firma y registra el resultado. Tras unos pocos mensajes certificados, el remitente alcanza un nivel de confianza, y cualquier mensaje que diga venir de ese dominio sin una firma válida destaca como suplantación.
Qué detecta
Todos los ataques siguientes superan SPF, DKIM y DMARC. Cada uno lo detecta una firma de servidor, porque esa firma responde a una pregunta que los otros tres nunca hacen.
| Ataque | SPF, DKIM, DMARC | ZI² Certified |
|---|---|---|
| Suplantación desde otro inquilino del mismo servidor | Todos pasan | Detectado |
| Dominio parecido, correctamente configurado | Todos pasan | Detectado |
| Manipulación del cuerpo | Parcial | SHA-256 completo |
| Reenvío de un mensaje capturado | Vulnerable | Nonce y marca de tiempo |
| Falsificación del destinatario | No se comprueba | Firmado en la carga útil |
| Firma ausente de un dominio local conocido | Ambiguo | Tratado como suplantado |
Instalarlo
Dos pasos en el servidor de envío y un registro DNS. El correo existente sigue circulando durante todo el proceso: un mensaje sin firmar se trata exactamente igual que hoy.
Niveles de confianza
Nivel 3 mismo servidor. Nivel 2 clave intercambiada directamente. Nivel 1 clave encontrada en el DNS. Nivel 0 sin firma.
Ver dónde está
Ejecute primero la comprobación gratuita sobre su dominio. Solo lee el DNS público.
Pedir el instalador
El software de firma y las herramientas de claves se entregan a petición, junto con el registro DNS que hay que publicar.