Autenticación del identificador de llamadas STIR/SHAKEN

STIR significa Secure Telephone Identity Revisited. Es el conjunto de estándares del IETF que definen cómo se crea y se adjunta una firma digital a una llamada.

SHAKEN significa Signature-based Handling of Asserted information using toKENs. Es la especificación de ATIS que indica a las operadoras cómo desplegar STIR en sus redes.

En resumen: STIR es el estándar, SHAKEN es el marco de implementación construido a su alrededor. En la práctica, ambos se mencionan siempre juntos, por lo que el protocolo STIR/SHAKEN se trata generalmente como una única entidad.

Tres pasos, todos completados antes de que suene el teléfono del destinatario.

Autenticación. Tu proveedor comprueba quién realiza la llamada y si tiene derecho a utilizar el número del identificador de llamadas. Firma. El proveedor añade una cabecera de identidad SIP firmada a la llamada, que contiene su certificado y un nivel de atestación que describe su confianza. Verificación. El proveedor de terminación valida esa firma con el certificado del proveedor de origen y pasa el resultado a sus propios análisis de spam.

Lo que el destinatario ve realmente al final de esa cadena depende de su operadora. STIR/SHAKEN proporciona la evidencia; el motor de análisis de la operadora decide sobre la llamada.

Cada firma lleva un nivel de atestación que indica cuánto sabe realmente el proveedor de origen sobre la llamada. Hay tres.

Atestación completa (A): el proveedor conoce al cliente y ha confirmado que tiene derecho a usar el número. Este es el nivel con más probabilidades de llegar al destinatario sin etiqueta. Atestación parcial (B): el proveedor conoce al cliente pero no ha verificado su derecho a ese número específico, lo cual es común cuando una empresa utiliza sus propios números. Atestación de pasarela (C): el proveedor solo está transmitiendo la llamada y no puede garantizar su origen en absoluto, lo cual es típico para el tráfico internacional que entra en la red de EE. UU.

Los análisis de las operadoras pesan mucho en esto. Las llamadas A suelen pasar sin problemas, las llamadas C atraen un mayor escrutinio. Si tus tasas de respuesta en llamadas salientes son bajas y no puedes averiguar por qué, tu nivel de atestación es una de las primeras cosas que vale la pena verificar con tu proveedor.

En Estados Unidos, sí. Según la Ley TRACED, la FCC adoptó normas en 2020 que exigían a los proveedores de voz implementar STIR/SHAKEN en las partes IP de sus redes antes del 30 de junio de 2021. A los pequeños proveedores con 100.000 o menos líneas de abonado se les concedió una prórroga hasta el 30 de junio de 2023, posteriormente acortada a 2022 para un subconjunto que generaba un alto volumen de llamadas. Desde entonces, la obligación se ha extendido también a los proveedores de pasarela e intermedios.

Los proveedores también presentan certificaciones en la Base de Datos de Mitigación de Robocalls de la FCC, y desde septiembre de 2021, las operadoras tienen prohibido aceptar tráfico directamente de proveedores que no figuren en ella. Canadá opera un requisito paralelo a través del CRTC.

Vale la pena saber si eres tú quien realiza las llamadas en lugar de gestionarlas: el cumplimiento de STIR/SHAKEN es una obligación de tu proveedor de voz, no de tu empresa. No tienes que presentar nada. Pero la implementación de tu proveedor determina directamente cómo se tratan tus llamadas, lo que la convierte en una pregunta justa para cualquier proveedor que estés evaluando.

No directamente, y esta es la concepción errónea más común al respecto. STIR/SHAKEN autentica el identificador de llamadas. No juzga la finalidad de una llamada. Una llamada automática (robocall) perfectamente legal con atestación completa pasa sin ser tocada, y un estafador todavía puede realizar una llamada suplantada. La llamada simplemente llega con una etiqueta honesta que dice que nadie puede dar fe de ella.

Lo que hace el marco es eliminar el anonimato de la red. Dado que cada llamada firmada puede rastrearse hasta el proveedor que la originó, los reguladores y las operadoras pueden identificar a los infractores reincidentes en lugar de perseguir tráfico irrastreable, y las operadoras obtienen una señal fiable para filtrar. Combatir las llamadas automáticas (robocalls) con STIR/SHAKEN es un subproducto de esa trazabilidad, no el mecanismo en sí.

Porque la atestación es uno de muchos factores. Los motores de análisis de las operadoras también tienen en cuenta cuántas llamadas realiza un número al día, cuánto duran esas llamadas, con qué frecuencia se responden, cuántos destinatarios han reportado el número, cuán recientemente se activó y si aparece en los registros de los proveedores de análisis.

Un número nuevo que realiza trescientas llamadas al día con una duración media de cuatro segundos se parece exactamente a un emisor de llamadas automáticas (robocaller), y la atestación completa no lo salvará. Es un problema de comportamiento de marcación, no un problema de firma.

Lo que realmente marca la diferencia: registra tus números con los proveedores de análisis, distribuye el volumen entre suficientes números para que ninguno parezca frenético, controla la duración media de tus llamadas y añade Identificador de llamadas de marca para que los destinatarios vean quién llama en lugar de una cadena de dígitos desconocida.

STIR/SHAKEN es verificación. Se ejecuta entre operadoras, el destinatario nunca lo ve, y su función es indicar a la red receptora que tu llamada es lo que dice ser.

Identificador de llamadas de marca es visualización. Muestra el nombre de tu empresa y, en los terminales compatibles, tu logotipo y un motivo de la llamada, en la pantalla del destinatario. Su función es dar una razón a una persona para que conteste.

Resuelven mitades adyacentes del mismo problema y funcionan mejor juntos: la firma hace que tu llamada pase el filtro, la marca hace que se conteste. La firma está incluida en tu plan de CloudTalk. El Identificador de llamadas de marca es un complemento de pago facturado por llamada saliente.

No. STIR/SHAKEN es un marco norteamericano, exigido por la FCC en EE. UU. y el CRTC en Canadá. Otros países están buscando sus propios enfoques para la autenticación del identificador de llamadas, y muchos aún no tienen ninguno.

Esto importa más de lo que parece si vendes en EE. UU. desde otro lugar. Las llamadas originadas fuera de Norteamérica suelen entrar en la red de EE. UU. a través de un proveedor de pasarela, lo que significa atestación de pasarela (C), lo que a su vez significa una mayor probabilidad de ser etiquetado antes de que alguien conteste. Utilizar un número local de EE. UU. de un proveedor que firma tu tráfico en el origen evita completamente ese camino.

La firma se realiza automáticamente en las llamadas salientes a destinos de EE. UU. No hay ninguna configuración que activar, ningún certificado que gestionar y ningún proveedor de autenticación independiente con el que contratar. La implementación de STIR/SHAKEN se gestiona en el lado de la operadora de la plataforma, que es donde reside realmente la obligación normativa.

Alrededor de esto se encuentra el resto del kit de herramientas de entregabilidad: registro de números anti-spam, remediación de spam para números que han adquirido mala reputación, Identificador de llamadas de marca para la visualización, y números locales en más de 160 países para que tus llamadas se originen cerca de las personas que las reciben. La entregabilidad rara vez se resuelve con una sola palanca, y la firma es la que debe estar implementada antes de que las demás importen.