En besked kan bruge en velkendt Fra-adresse, mens du sender svar andre steder. Denne forskel kan være legitim, såsom en billettjeneste, eller den kan omdirigere en følsom samtale. Undersøg de faktiske felter og den modtagende tillidsgrænse, før du kalder uoverensstemmelsen for et angreb eller behandler godkendelse som godkendelse af svardestinationen.
Forstå feltets rolle
RFC 5322 beskriver Reply-To som den eller de postkasser, som forfatteren foreslår, at svar sendes til. I fravær går svar normalt til Fra-postkassen. Dette er en instruktion i meddelelsesformat, adskilt fra levering af SMTP kuverter og adskilt fra en beslutning om menneskelig godkendelse. Klienter og workflowværktøjer kan anvende deres egen svaradfærd, så inspicer den faktiske modtager, før du sender et følsomt svar. RFC 5322 afsnit 3.6.2.
DMARC bruger forfatterdomænet, ikke feltet Svar til, til dets identitetsforhold. Et pass fastslår derfor ikke, at et andet svar-til-domæne tilhører den samme organisation. En gyldig DKIM signatur kan dække Reply-To, når dette felt er inkluderet i signaturens underskriftsoverskriftsliste, men integriteten af en værdi er ikke tilladelse til at bruge den til fortrolig korrespondance. DMARC og DKIM.
Anmærk originalen i stedet for et skærmbillede
Behold rå beskedbytes. Opret en separat anmærkning, der viser Fra, Svar-Til, Return-Path, DKIM d= and h= values, and the receiving system that produced Authentication-Results. Marker Fra og Svar-Til som afsenderleverede felter, DKIM -signaturen som et krav, der kræver verifikation, og godkendelsesresultater er kun tillid til, når deres oprindelse er fastslået. RFC 8601.
Antag ikke, at en kopieret Authentication-Results linje er ægte. Ligeledes beviser et Return-Path i en vilkårlig gemt tekstfil ikke uafhængigt SMTP konvolutten. Korreler med autoriserede modtagelogfiler, hvor det er nødvendigt.
Sammenlign tre scenarier med skrevne overskrifter
Antag synlig fra billing@supplier.example.test i hvert tilfælde. Konvolutidentitet, DKIM d= og h= værdier, faktiske signaturer og betroede modtagerresultater leveres ikke. En kopieret beståelse kan ikke udfylde disse huller.
- Uventet rute: Reply-To case@support.example.test ; ingen workflow-godkendelse leveret. Marker det forskellige nøjagtige domæne til gennemgang, hold følsomme svar tilbage og spørg tjenesteejeren gennem en kendt kanal.
- Rute for samme domæne: Reply-To help@supplier.example.test . En regel om nøjagtigt domæne-mismatch vil ikke markere den, men dette er ikke et bevis på, at postkassen eller de anmodede oplysninger er godkendt.
- Omfanget undtagelse: Reply-To case@tickets.example.test ; antag, at en fiktiv opgørelse kun tillader denne service for rutinemæssige supportbilletter. Behandl det som forventet til det formål, ikke tilladelse til betalingsændringer eller fortrolige dokumenter.
Disse eksempler er skrevne værdier og beslutninger, ikke en inkluderet .eml-fil, parserkørsel eller ægte godkendelsesresultat. Ingen DKIM signatur er fremstillet. Den foreslåede tjenesteejer verificerer både modtager- og tilladte oplysninger før et reelt svar; mail-efterforskeren indhenter separat originale bytes og pålidelige autentificeringsbeviser.
Bekræft svardestinationen i forhold til arbejdsgangen
Spørg tjenesteejeren, om den eksterne destination forventes for denne meddelelsestype, og om den er passende for den foreslåede information. En supportpostkasse kan legitimt adskille sig fra en faktureringsafsender, men stadig være uegnet til betalingsinstruktioner eller følsomme vedhæftede filer. Godkendelse bør matche formålet, ikke blot domænets eksistens.
For uventede anmodninger skal du kontakte den formodede afsender via en kendt uafhængig kanal. Test ikke en tvivlsom destination ved at e-maile fortroligt materiale. Hvis en klient automatisk udfyldte Reply-To, skal du annullere kladden, indtil destinationen er bekræftet.
Luk spørgsmålet på feltniveau
Registrer, om uoverensstemmelsen var forventet, uautoriseret eller uløst, og hvilke beviser der understøtter denne konstatering. Gem godkendelsesresultater som en separat observation. Dette bevarer en nyttig sondring: en meddelelse kan være intakt og domænegodkendt, mens dens foreslåede svarrute er upassende for forretningshandlingen.