Eine Nachricht, die scheinbar zwei Absender hat, kann verschiedene Dinge beinhalten: ein Absenderfeld mit mehreren Autoren, zwei separate Absenderfelder oder einen Anzeigenamen, der wie eine andere Adresse aussieht. Das sind verschiedene Parsing- und Sicherheitsfälle. Ein Screenshot der Absenderzeile eines E-Mail-Clients kann diese nicht zuverlässig unterscheiden.
Behalten Sie den ursprünglichen Nachrichtenkopf bei und beginnen Sie mit seiner Struktur. Wählen Sie nicht stillschweigend die Adresse aus, die mit einer Passsignatur übereinstimmt. Das kann die Unklarheiten verbergen, die der Empfänger verstehen muss.
Trennen Sie die Feldanzahl von der Adressanzahl
RFC 5322 erlaubt ein einzelnes Von-Feld mit einer Postfachliste. Wenn diese Liste mehr als ein Postfach enthält, ist ein Absenderfeld mit einem Postfach erforderlich. Die Nachrichtenformatregeln geben immer noch ein Von-Feld an, sodass zwei separate Von-Felder nicht dasselbe Konstrukt wie ein gültiges Feld mit mehreren Autoren sind.
Der Absender identifiziert den übertragenden Agenten im Nachrichtenformatmodell. Es ersetzt nicht die From-Domäne als DMARC's Autorendomäne. Antwort an, Return-Path und ein Anzeigename dienen auch unterschiedlichen Zwecken.
Verwenden Die exemplarische Vorgehensweise zur Identitätskette Halten Sie diese Rollen getrennt, bevor Sie die Authentifizierung untersuchen.
Wenden Sie die DMARC Domänenregel explizit an
RFC 9989Für die normale Verarbeitung ist genau eine extrahierte From-Domäne erforderlich. Wenn keine oder mehr als eine Domäne extrahiert wird, wird der normale Validierungsprozess beendet. Die Spezifikation ermöglicht es einem Empfänger, im Fall mehrerer Domänen fortzufahren, und erörtert die Auswirkungen auf Sicherheit und Verarbeitung.
Das ist keine Erlaubnis für ein Diagnosetool, den geeignetsten Autor auszuwählen und einen uneingeschränkten Erfolg zu melden. Wenn sich ein Empfänger für die Bewertung mehrerer Domains entscheidet, müssen das daraus resultierende Verfahren und die Abdeckung aufgezeichnet werden.
In Abschnitt 11.5 wird die Bewertung jeder Domäne und die Anwendung der stärksten Richtlinie unter den fehlgeschlagenen Prüfungen erläutert. Es wird außerdem darauf hingewiesen, dass die Verarbeitung einer übermäßigen Anzahl von Domänen zu einem Ressourcenproblem führen kann. Werden nicht alle verarbeitet, ist die Auswertung unvollständig. Hierbei handelt es sich um Überlegungen zur Empfängerhandhabung und nicht um ein Versprechen, dass jedes Produkt solche E-Mails identisch akzeptiert oder anzeigt.
Verwenden Sie kontrollierte Fälle mit gekennzeichneten Erwartungen
In den folgenden Fällen handelt es sich um synthetische Header-Fragmente. Dabei handelt es sich nicht um ausgeführte Tests oder gemeldete Empfängerergebnisse, und jeder würde den Rest einer korrekt konstruierten Nachricht in einem kontrollierten Test benötigen.
| Fall | Illustrative Felder | Beurteilung zum Aufzeichnen |
|---|---|---|
| Einzelautor | Von: author@example.com | Gewöhnlicher Ein-Domänen-Pfad, vorbehaltlich der verbleibenden Nachrichten- und Authentifizierungsprüfungen |
| Mehrere Autoren in einem Bereich | Von: author@example.com , editor@example.net | Mit dem erforderlichen separaten Einzelpostfach-Absenderfeld kann dies ein gültiges Multi-Autoren-Format sein; Mehrere From-Domänen erfordern weiterhin eine DMARC -Analyse zur Ausnahmebehandlung |
| Von-Felder duplizieren | Ein Feld „Von“ für example.com und ein weiteres für example.net | Fehler im Nachrichtenformat; Reparieren Sie es nicht unsichtbar, während Sie behaupten, die ursprüngliche Nachricht auszuwerten |
| Adressähnlicher Anzeigename | Zeigen Sie Text mit einer scheinbaren Adresse vor einem tatsächlichen Postfach an | Analysieren Sie die tatsächliche Postfachdomäne. Beurteilen Sie das Anzeigerisiko gesondert |
Behalten Sie für jeden Fall die rohe Fixture- und Parser-Ausgabe bei. Zählen Sie Felder, listen Sie extrahierte Postfachwerte auf und zeichnen Sie das Domänenergebnis auf, das zum gewählten Verarbeitungspfad geführt hat. Wenn zwei Postfächer dieselbe Domäne verwenden, gehen Sie nicht davon aus, dass die Anzeige des E-Mail-Clients darauf hinweist, wie der Evaluator mit dieser Multi-Autoren-Konstruktion umgeht. Behalten Sie das Extraktionsergebnis bei und testen Sie die Implementierung.
Halten Sie Authentifizierungsnachweise mit der analysierten Identität verknüpft
Ein SPF oder DKIM Pass für eine Domain kann keine andere angezeigte Identität erklären, ohne dass dies erforderlich ist Ausrichtung Analyse. Bewahren Sie alle relevanten DKIM d-Werte und vertrauenswürdigen Empfängerergebnisse. Behalten Sie außerdem die genauen From-Bytes, einschließlich Faltung und Kommentare, bei, damit die Analyse reproduziert werden kann.
Schreiben Sie den ursprünglichen Absender nicht auf einen einzelnen Autor um, bevor Sie die Originalsignatur überprüft oder untersucht haben, was das empfangende System gesehen hat. Eine umgeschriebene Kopie kann als separater Testfall nützlich sein, aber kennzeichnen Sie sie als modifizierte Vorrichtung mit einer anderen Identitätsfrage.
Ein abgelehnter Versuch erzeugt möglicherweise nie zugestellte Header. Behalten Sie die SMTP Antwort und die Empfangsprotokolle bei, sofern verfügbar, anstatt eine Zustellung zu erfinden Authentication-Results Probe.
Testpräsentation sowie Bearbeitung
Zu den Sicherheitsbedenken gehört auch, was ein Empfänger sieht. Eine Komponente kann eine Konstruktion auswerten, während ein E-Mail-Client einen anderen offensichtlichen Autor hervorhebt. Vergleichen Sie in einer autorisierten Testumgebung die Parser-Ausgabe, das Authentifizierungsergebnis, die Handhabung und die angezeigte Absenderzeile für genau dasselbe Gerät.
Zeichnen Sie Softwareversionen und -einstellungen mit tatsächlichen Beobachtungen auf. Kopieren Sie nicht das Verhalten eines Klienten in einen universellen Anspruch. RFC 9989 identifiziert Mehrdomänenkonstruktionen als potenzielle Möglichkeit, die normale DMARC -Verarbeitung zu vermeiden, daher sollte ein Ergebnis mit der Bezeichnung „nicht bewertet“ nicht als „sicher“ dargestellt werden.
Eine praktische Ausgangskonfiguration profitiert im Allgemeinen von einem klaren Absenderpostfach für normale automatisierte E-Mails. Wenn echte Multi-Autoren-Funktionalität erforderlich ist, bestätigen Sie das anwendbare Format und die unterstützte Handhabung mit den Systemen, die es verarbeiten, anstatt davon auszugehen, dass ein erforderliches Absenderfeld jedes nachgelagerte Authentifizierungsproblem löst.
Die Untersuchung ist abgeschlossen, wenn die ursprüngliche Syntax erhalten bleibt, die Entscheidung über die extrahierte Domäne erläutert wird und diese Entscheidung mit der tatsächlichen Handhabung und Darstellung durch den Empfänger verknüpft wird. Halten Sie außergewöhnliche oder unvollständige Verarbeitungen sichtbar, anstatt eine einzige grüne Authentifizierungsantwort zu erstellen.