Activando DMARC en tu dominio te aseguras que ningún hacker engañe a tus clientes y proveedores, enviando mensajes en tu nombre.
El filtrado DMARC de servidor es la otra cara de la moneda. Tu servidor de correo electrónico debe tener activado ese filtrado para que los hackers no te engañen a ti (y a los usuarios de tu dominio).
Esta medida la debe implementar el administrador del servidor con el que tengas contratado el servicio de hosting.
Si utilizas un servidor con panel Plesk, es bastante fácil y directo, basta con ir a «Herramientas y Opciones», «Configuración del Servidor de Correo» y activar la casilla «Activar DMARC para comprobar el correo entrante» que por defecto viene desactivada en algunos servidores.
Google Analytics fue una bendición para los webmasters y para el personal de marketing porque nos ofrece una herramienta gratuita genial para medir el tráfico y la optimización de nuestra web. Es tan buena, que nos cuesta vivir sin ella
EL PROBLEMA: «SIn Cookies no hay medición»
El RGPD y su estricta regulación del uso de cookies ha supuesto un trilema a los administradores de sitios web que quieren seguir utilizando las herramientas analíticas de Google.
1) Fastidiar la usabilidad: Pongo un banner gigantesco, bloqueo el contenido de detrás hasta que el usuario acepte o configure las cookies. (Como hacen las webs de importantes periódicos nacionales). Cumplo la ley, me aseguro que las mediciones son correctas pero estropeo la usabilidad de la web.
2) Falsear las mediciones: Pongo un banner más discreto y permito navegar sin que el usuario acepte o configure las cookies. Pero como molesto poco a los usuarios, no hacen click en «aceptar las cookies» y como las cookies de medición de tráfico no saltan hasta que el usuario acepta. Cumplo la ley, pero los informes de tráfico se falsean, porque sólo reflejan un pequeño % del tráfico real.
3) Incumplir el RGPD: Paso de todo y dejo que la web cargue las cookies analíticas antes de que el usuario acepte y dé su consentimiento. Mido perfectamente el tráfico y puedo optimizar la web como siempre, pero me arriesgo a una sanción.
LA SOLUCIÓN: «Utiliza la Analítica sin cookies»
Shhhh. Google no quiere que lo sepas, (porque buena parte de su negocio se basa en estudiar nuestro comportamiento para proponernos la publicidad que más nos puede tentar), pero sí que es posible utilizar Google Analytics sin cookies. El desarrollador Helge Klein nos lo explica en este post (en inglés)
Básicamente se trata de modificar el comportamiento «por defecto» de Google Analytics., En vez de utilizar cookies con identificadores proporcionados por Google, generamos un identificador a partir de la IP, el agente del navegador, idioma y un intervalo de tiempo y utilizaremos ese identificador (no vinculado a datos personales) para el registro analítico de las acciones del usuario en el sistema de Google Analytics.
Haciéndolo así dejamos de utilizar cookies, Google perderá la capacidad de rastreo entre sitios, y gracias a ello respetamos los principios de privacidad recogidos en el RGPD, sin perder nuestra querida analítica.
Te explico cómo hacerlo:
En la web que quieras controlar, has de seguir utilizando el antiguo identificador de Google Analytics ( el que empieza por UA-) El sistema de medición de la última versión de Analytics (el que empieza por G-). Si no sabes cómo hacerlo aquí tienes un tutorial (en inglés): How to install google analytics 2020.
Si estás utilizando wordpress como gestor de contenidos de tu web, lo tienes fácil, Instala el plugin de Google Analytics sin cookies. Le pegas el código de seguimiento UA-*** y a funcionar.
Si estás utilizando otro sistema de gestión de sitios web, le has de añadir un script a la sección de cabecera <head> de tu web. El script que te indico funciona si el servidor tiene instalado php, de no ser así, busca cómo insertar dentro del código la dirección IP (linea 15 del código)
Este es el fragmento que has de insertar (Sustituyendo UA-******* por el código de tu propiedad)
La decisión de activar DMARC en un dominio, puede presentar básicamente dos tipos de problemas para los correos salientes desde el dominio:
1) Redirecciones habilitadas por nuestros clientes / proveedores
Algunos clientes / proveedores que tienen un correo del tipo hola@clienteuno.com pero que tienen contratado un servicio de hosting lowcost, que no tiene buzón físico, sino una redirección a un correo gratuito del tipo clienteuno@gmail.com o clienteuno@hotmail.com
Si activamos DMARC esos clientes/ proveedores dejarán de recibir nuestros correos. ¿Por qué? Porque por funcionamiento de estas redirecciones, lo que hace el servidor de nuestro cliente es reenviar a clienteuno@gmail.com el correo que enviamos nosotros, como si fuésemos nosotros. Técnicamente está falsificando la identidad de nuestro dominio para escribir a clienteuno@gmail.com Por ello cuando el correo llega a gmail y el sistema de Google verifica el origen del correo, se da cuenta que NO se ha originado en un servidor autorizado y lo rechaza.
¿Esto supone un problema grave en 2020? En Adelopd activamos DMARC hace más de 6 meses y tuvimos este problema en menos del 0,2% de los correos que enviamos. Pero es bueno tenerlo en cuenta.
2) Envío de correos desde plataformas externas.
Cuando una empresa utiliza servicios de plataformas externas para enviar correos electrónicos en nombre de su dominio. Ejemplo: Plataformas de envío de correos electrónicos masivos, como Mailchimp, SendinBlue, Acumbamail, etc
En ese caso ANTES de activar DMARC, hemos de modificar la política SPF para que incluya el servicio externo que va a enviar en nombre de nuestro dominio. De no hacerlo así, los correos electrónicos enviados desde esa plataforma se irían a spam o serían directamente rechazados por los servidores de los destinatarios.
Si una empresa no utiliza plataformas externas, y se limita a enviar correos electrónicos desde su programa de escritorio (Outlook, Thunderbird…) o desde su gestor de webmail, la activación del DMARC no tiene por qué suponer ningún problema en la entrega de sus correos electrónicos.
Hoy hemos recibido un correo del Ministerio del Interior, relativo a una multa impagada.
La primera impresión es que se trataba de un correo fraudulento, pero al mirar el remitente, me ha parecido legítimo. Lo envía:
Ministerio del Interior<multas@interior.gob.es>
He revisado las cabeceras del mensaje, y me ha mosqueado bastante que el Ministerio del Interior utilice un servidor ruso para enviarme una notificación de una multa:
Received: from 194-58-108-196.ovz.vps.regruhosting.ru
(194-58-108-196.ovz.vps.regruhosting.ru [194.58.108.196])
He consultado el registro SPF del subdominio interior.gob.es, y me he encontrado esto:
El Ministerio del Interior, sí tiene publicado un registro SPF en el que informa que los correos legítimos los envía desde los servidores autorizados para recibir correos (MX).
He revisado cuáles son estos servidores:
Y resulta que no tienen publicado ningún servidor de correo entrante para este subdominio (interior.gob.es). O sea, que aunque contestes a multas@interior.gob.es, ese correo será devuelto porque no hay dado de alta ningún servidor de correo para ese subdominio.
Por tanto, tal y como suponía, el servidor ruso que me ha enviado el correo con la multa, NO está autorizado por la política SPF del subdominio interior.gob.es
Y sin embargo, extrañamente, mi servidor de correo entrante no ha rechazado el correo.
Intrigado, he analizado todas las cabeceras del mensaje con la ayuda del servicio de MXToolbox
He ahí mi sorpresa: Puesto que el subdominio interior.gob.es no tiene activado DMARC, el SPF que consulta no es el del dominio interior.gob.es, sino el del servidor ruso que ha enviado el mensaje.
Esto me ha confirmado que tener publicado el registro SPF, si no tienes activado DMARC no sirve de nada. Cualquier hacker de medio pelo puede enviar correos haciéndose pasar por un usuario de ese dominio, y los servidores de correo no lo filtrarán.
La Agencia Española de Protección de Datos (AEPD) ha publicado una versión actualizada de la «GUIA DE COOKIES» junto con varias asociaciones del sector de la publicidad.
La tenemos disponible aquí: Guía de Cookies (versión julio 2020)
La entrada en vigor del RGPD (y la nueva LOPD) supuso un cambio en la doctrina relativa al uso de cookies. Además, las interpretaciones de la Unión Europea relativas al consentimiento han sido recientamente aclaradas, y por , la AEPD ha publicado su guía actualizada, respecto a su versión de noviembre de 2019.
La consideración más importante es que obliga a los sitios web a obtener el CONSENTIMIENTO EXPRESO del usuario ANTES DE GRABAR NINGUNA COOKIE QUE NO SEA IMPRESCINDIBLE en su dispositivo.
La forma de obtener el consentimiento expreso es mediante fórmulas como hacer clic en un apartado que indique “consiento”, “acepto”, u otros términos similares.
En ningún caso la mera inactividad del usuario (o el hacer scroll) será válida como consentimiento (porque el consentimiento «tácito» aceptable antes del RGPD ya no es válido). La frase «si continuas navegando es que aceptas su uso» no es aceptable, ya que seguir navegando no se considera una forma válida de prestar el consentimiento, cuando hay alternativas tecnológicas más adecuadas.
Tampoco se considera válido el consentimiento prestado «a la fuerza» en los llamados «Muros de cookies» donde sólo tienes dos alternativas, o «das tu consentimiento» a las cookies o no te dejan entrar en la página para utilizarla y ver su contenido.
Utilizamos cookies propias y de terceros para analizar nuestros servicios y mostrarte publicidad relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Puedes obtener más información y configurar tus preferencias AQUÍ.
ACEPTARRECHAZAR
Utilizamos cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Clica AQUÍ para más información. Puedes aceptar todas las cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso clicando AQUÍ
Utilizamos cookies propias y de terceros para analizar nuestros servicios y mostrarte publicidad relacionada con tus preferencias. Si continuas navegando entendemos que aceptas su uso. Haz click AQUÍ para más información.
La guía también especifica cómo se debe mostrar información en la segunda capa, (agrupados por tipos de cookies), y que no se debe gestionar el consentimiento cookie a cookie (por lo farragoso que resulta) sino por tipos de cookies (Por ejemplo, puedes aceptar las cookies analíticas, pero rechazar las de publicidad comportamental).
¿Qué pasa si no adapto mi web?
Hasta ahora, la mayoría de expedientes sancionadores, han terminado en un apercibimiento sin sanción económica, y la concesión del plazo de un mes para corregir los defectos.
También hemos conocido una sanción en firme de 30.000 euros a la empresa VUELING AIRLINES, por disponer el antiguo aviso de cookies, y grabar cookies sin consentimiento expreso del usuario en su web vueling.com. Es accesible desde aquí: Sanción 30.000 euros AEPD por cookies a Vueling
Junto a esta actualización de la guía, la AEPD otorga un plazo a las empresas: Las webs han de estar actualizadas como muy tarde el 31 de octubre de 2020.
La medida más importantes es NO grabar cookies no esenciales en el navegador antes de que el usuario haya hecho click en algún botón de «aceptar»
¿Cómo saber si tu web cumple este requisito? Échale un vistazo al video que hemos preparado para enseñarte cómo comprobar las cookies de cualquier sitio web con el navegador GOOGLE CHROME.
NOTA: Haz click en la imagen de abajo y te abriremos el video en el sitio web de Youtube en otra pestaña de tu navegador. Hemos decidido no insertar el video en esta página porque cuando carga la página con el script que invoca al video de youtube, Google inyecta sus propias cookies de publicidad y seguimiento en nuestra página aunque no hayas aceptado las cookies, y como tenemos que dar ejemplo, no podemos permitir eso 🙂
Cookies EXENTAS
La guía menciona algunas cookies que pueden utilizarse sin necesidad de recabar el consentimiento. Son las siguientes:
– Cookies de «entrada del usuario»: por ejemplo, las que guardan el «carrito de compra» en una tienda online. Relacionan ese dispositivo con ese carrito de compra, pero no con ningún usuario. O la cookie que recuerda que el usuario ha dado su consentimiento al uso de ciertas cookies.
– Cookies de autenticación o identificación de usuario (únicamente si son cookies de sesión).
– Cookies de seguridad del usuario, por ejemplo las destinadas a detectar y limitar el intento reiterado de acceso a un servicio protegido por contraseña.
– Cookies de sesión de reproductor multimedia (permiten saber si el usuario ha apretado pausa, cuánto tiempo de reproducción lleva)
– Cookies de sesión para equilibrar la carga. Es una cookie técnica y de sesión, para que una web que dispone de un balanceador de carga y varios servidores, sepa que esa sesión se debe redirigir a uno de sus servidores.
– Cookies de personalización de la interfaz de usuario: Por ejemplo permite recordar si el usuario prefiere el idioma español o inglés.
– Determinadas cookies de complemento (plug-in) para intercambiar contenidos sociales. Estas son las que permiten integrar en una página web recursos de redes sociales para identificar a los miembros que tengan la sesión abierta en la red social, y facilitar el que pongan comentarios o compartan contenido con sus amigos. OJO: El criterio de la AEPD respecto a estas cookies está definido en este informe. En resumen: para que estas cookies «de complemento» tengan la consideración de exentas, han de ser EXCLUSIVAMENTE cookies de sesión. Si se trata de cookies persistentes sí requerirán el consentimiento expreso del usuario.
¿Tienes previsto implantar una medida preventiva frente al COVID-19 que consiste en la toma de temperatura antes de acceder a tu establecimiento?
¡MUCHO CUIDADO!
La Agencia Española de Protección de Datos ha publicado una nota de prensa en la que advierte que esta actuación puede ser constitutiva de infracción de la Ley de Protección de Datos.
Distingue entre dos tratamientos distintos:
– Control de Temperatura de empleados: Nuestras empresas ya tienen una habilitación legal para cumplir la Ley de Prevención de Riesgos Laborales. Para aplicarlo recomendamos que solicitéis a vuestro Servicio de Prevención un protocolo que os marque cual es la temperatura límite, por debajo de la cual pueden acceder los trabajadores, y por encima de la cual, no debéis permitir el acceso del trabajador para prevenir la salud de sus compañeros.
– Control de Temperatura de Clientes: Este caso es aún más difícil. La AEPD recomienda no aplicar ningún tipo de control hasta que haya una indicación expresa de las autoridades sanitarias autonómicas o estatales, en la que marquen un protocolo de actuación.
Mayor riesgo de intrusión de seguridad presentan aún los sistemas de videovigilancia dotados de sensor térmico, especialmente si graban la imagen térmica y la imagen normal, porque permite asociar un dato personal (imagen) y un dato de salud (la temperatura corporal).
Consulta con nosotros antes de contratar y utilizar un sistema de este tipo.
Para cumplir las obligaciones derivadas del Estado de Alarma, debido al COVID-19, las empresas debemos utilizar el teletrabajo en todos los casos en que sea posible.
Para ayudaros a que podáis implantar una estrategia de teletrabajo exitosa, y que resulte compatible con la LOPD y el RGPD, debemos tener en cuenta las medidas de seguridad que deben aplicarse dependiendo de la forma en que el trabajador vaya a utilizar.
Teletrabajo en dispositivo de empresa o propiedad del trabajador
Siempre que sea posible, es preferible utilizar los dispositivos (Portátiles, tablets, o PC) de la empresa, ya que los dispositivos de los trabajadores, que utilizan en su vida privada, no siempre tienen los sistemas operativos actualizados, los sistemas de protección (antivirus y firewall) activados, y en ocasiones pueden haber instalado programas informáticos de procedencia no verificada.
Si un trabajador va a emplear su ordenador personal para trabajar, le recomendamos que utilice un PC con las mismas medidas de seguridad que recomendamos a los equipos informáticos de la empresa: – Con un sistema operativo seguro (si es un windows, usar windows 10, o en su defecto, windows 8. No utilizar versiones más antiguas).
– Con el sistema operativo actualizado para que disponga de los últimos parches de seguridad.
– Con antivirus y firewall actualizados y activos.
De poco sirve tener una empresa blindada en el lado del servidor, si al final el trabajador se conecta desde su casa con un windows xp o un windows 7 con troyanos.
Conexión a los servidores y recursos internos.
VPN Segura.
Si dispone de un servidor local, que resulta accesible a los equipos informáticos conectados a la intranet, la manera recomendable de teletrabajar es:
– Configurar el servidor con un firewall que acepte conexiones remotas a través de VPN (Red privada virtual).
– Configurar el acceso de los equipos remotos al servidor Limitando los accesos al servidor a conexiones autenticadas mediante certificado digital o seguridad de doble factor. En general no es nada recomendable dejar un servidor accesible por internet protegido exclusivamente por usuario/contraseña. O utilizas certificados digitales o utilizas sistemas de acceso con seguridad de doble factor. (Que envíen una segunda clave por SMS o código de APP en teléfono móvil del trabajador)
– Configurar los equipos en movilidad una conexión remota al servidor mediante VPN con certificado digital, de forma que pida una contraseña al trabajador antes de cargar el certificado digital y realizar la conexión.
Software de control remoto.
Una manera menos recomendable pero que utilizan algunas empresas es instalar en el equipo local del trabajador un programa de control remoto (Ejemplo: Teamviewer) y dejar el ordenador local conectado, para que el trabajador pueda conectarse a ese equipo desde el exterior, y trabajar como si estuviese físicamente en el equipo de la oficina.
Si por cualquier motivo, necesita trabajar de este modo, le recomendamos que no utilice la conexión por defecto (mediante ID de equipo y contraseña) sino que registre su cuenta de correo electrónico, y habilite la seguridad de doble factor para conectarse a su cuenta.
De este modo para conectarse al pc de la oficina desde un equipo desconocido, no bastará con la contraseña, sino que recibirá un código de verificación (normalmente en el teléfono móvil del trabajador) para conectarse si ha acertado la contraseña.
Uso de datos en la nube.
Si utiliza servicios en la nube para almacenar ficheros ofimáticos (Dropbox, Google Drive, Microsoft OneDrive, Apple Cloud o similares) recomendamos activar siempre la seguridad de doble factor.
Copia de archivos en dispositivos portátiles.
Si el trabajador necesita llevarse archivos de la empresa para teletrabajar, en un pendrive o disco duro externo, recomendamos que lo haga en un dispositivo cifrado.
De todos modos, si por las circunstancias excepcionales, como las actuales con el COVID-19, podríamos obviar esa exigencia de cifrado si el trabajador se va directo de la oficina a su casa, y ese dispositivo no sale de su domicilio hasta el día que tenga que volver a la oficina una vez pase la crisis del virus.
Una duda frecuente que suelen tener las empresas es si la adecuación a la legislación de protección de datos (nueva LOPD + RGPD) es un trabajo puntual, que se contrata una sola vez, o si es un trabajo recurrente que necesitan renovar.
El Reglamento General de Protección de Datos (RGPD) en su artículo quinto ya establece obligaciones para que cada Responsable del Tratamiento de Datos Personales: «… garantice una seguridad adecuada incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas» y que «El Responsable del Tratamiento … será capaz de demostrar el cumplimiento (responsabilidad proactiva)»
El problema desde un punto de vista práctico viene a la hora de decidir cuáles son las medidas técnicas y organizativas ADECUADAS, ya que en el antiguo reglamento estaban incluidas y en el nuevo reglamento se han dejado fuera a propósito.
¿Por qué no han publicado un reglamento tan concreto como el anterior? Básicamente porque se han dado cuenta que la tecnología corre más que los reglamentos. Y el anterior Reglamento publicado en 2007, se quedó obsoleto a los pocos meses de su entrada en vigor.
Entre 2007 y 2018 una empresa se podía permitir tener una «carpeta LOPD» en la que adaptaba a su empresa las medidas de seguridad «publicadas en el BOE». Si tenía datos de nivel básico, con eso «cubría el expediente».
¿Qué debe hacer ahora una empresa para cumplir la legislación de protección de datos?
La clave nos la da la disposición adicional decimoctava de la nueva LOPD: «Criterios de Seguridad: La Agencia Española de Protección de Datos desarrollará, con la colaboración, cuando sea precisa, de todos los actores implicados, las herramientas, guías, directrices y orientaciones que resulten precisas para dotar a los profesionales, microempresas y pequeñas y medianas empresas de pautas adecuadas para el cumplimiento de las obligaciones de responsabilidad activa …»
Así pues, la obligación que tiene una empresa es estar pendiente de todas las publicaciones de la AEPD y adaptar aquellas que sean adecuadas a su sector y a su forma de trabajo y esto puede hacerlo de dos maneras.
– Con un empleado en plantilla que asuma esta función.
– Contratando este servicio con una empresa especializada.
De un modo u otro, tenga claro que para cumplir la actual legislación de protección de datos no basta con tener una «carpeta LOPD» en una estantería. Cada empresa tiene que monitorizar, de manera interna o contratando con un experto externo, todas las publicaciones de la AEPD y trasladar lo que le sea de aplicación a sus protocolos de trabajo, y a las medidas de seguridad, y tenerlo todo documentado para poder demostrar el cumplimiento.
Una de las obligaciones que tiene una empresa cuando implanta la gestión de la protección de datos es la de que todos sus trabajadores firmen el compromiso de confidencialidad.
Este documento suele ser diferente si el trabajador trata datos (como todos los que tienen equipos informáticos) o no debe tratarlos, pero por su trabajo puede tener acceso (por ejemplo, los mozos de almacén que no manejan ordenador pero sí ven las etiquetas de envío con el nombre y dirección de los clientes).
La Ley Orgánica 3/2018 de Protección de Datos de Carácter Personal y Garantía de Derechos Digitales obliga a las empresas en su artículo 5:
Artículo 5. Deber de confidencialidad.
1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.
¿Qué hacer si un trabajador se niega a firmar el compromiso de confidencialidad? ¿Se le puede obligar?
Sí. Y hay precedentes legales de despido de un trabajador por negarse a firmar el compromiso de confidencialidad. El Tribunal Superior de Justicia de Madrid, en esta sentencia, avala el despido de una trabajadora por negarse a firmar dicho documento.
