Un mensaje que parece tener dos remitentes puede involucrar varias cosas diferentes: un campo De que contiene varios autores, dos campos De separados o un nombre para mostrar que parece otra dirección. Esos son diferentes casos de análisis y seguridad. Una captura de pantalla de la línea del remitente de un cliente de correo no puede distinguirlos de manera confiable.
Conserve el encabezado del mensaje original y comience con su estructura. No seleccione en silencio cualquier dirección que se alinee con una firma aprobada. Eso puede ocultar la ambigüedad que el receptor y el destinatario necesitan comprender.
Separe el recuento de campos del recuento de direcciones
RFC 5322 permite un único campo De con una lista de buzones. Cuando esa lista contiene más de un buzón, se requiere un campo de Remitente con un buzón. Las reglas de formato de mensaje aún especifican un campo De, por lo que dos campos De separados no son la misma construcción que un campo válido de varios autores.
El remitente identifica al agente transmisor en el modelo de formato de mensaje. No reemplaza el dominio Desde como DMARCDominio del autor. Responder a, Return-Path y un nombre para mostrar también tienen diferentes propósitos.
Usar el recorrido de la cadena de identidad mantener estos roles separados antes de investigar la autenticación.
Aplicar la regla de dominio DMARC explícitamente
RFC 9989El procesamiento normal de requiere precisamente uno extraído del dominio. Si se extrae cero o más de un dominio, finaliza su proceso de validación ordinario. La especificación permite que un receptor continúe en el caso de dominios múltiples y analiza las implicaciones de seguridad y procesamiento.
Eso no es permiso para que una herramienta de diagnóstico elija al autor más conveniente y reporte un éxito rotundo. Si un receptor elige evaluar múltiples dominios, es necesario registrar el procedimiento y la cobertura resultantes.
La sección 11.5 analiza la evaluación de cada dominio y la aplicación de la política más sólida entre las comprobaciones que fallan. También advierte que procesar una cantidad excesiva de dominios puede crear un problema de recursos; si no se procesan todos, la evaluación está incompleta. Estas son consideraciones de manejo del destinatario, no una promesa de que todos los productos acepten o muestren dicho correo de manera idéntica.
Utilice casos controlados con expectativas etiquetadas
Los casos siguientes son fragmentos de encabezado sintéticos. No son pruebas ejecutadas ni resultados informados del receptor, y cada uno necesitaría el resto de un mensaje construido correctamente en una prueba controlada.
| Caso | Campos ilustrativos | Evaluación para registrar |
|---|---|---|
| Autor único | De: author@example.com | Ruta ordinaria de un solo dominio, sujeta a los mensajes restantes y a las comprobaciones de autenticación. |
| Múltiples autores en un campo | De: author@example.com , editor@example.net | Con el campo Remitente de buzón único separado requerido, este puede ser un formato válido de varios autores; Múltiples dominios From todavía requieren un análisis de manejo excepcional DMARC |
| Duplicar desde campos | Un campo De para example.com y otro para example.net | Defecto en el formato del mensaje; no lo repare de forma invisible mientras afirma evaluar el mensaje original |
| Nombre para mostrar similar a una dirección | Mostrar texto que contiene una dirección aparente antes de un buzón real | Analizar el dominio del buzón de correo real; evaluar el riesgo de visualización por separado |
Para cada caso, conserve el dispositivo sin procesar y la salida del analizador. Cuente los campos, enumere los valores de buzón extraídos y registre el resultado del dominio que condujo a la ruta de procesamiento elegida. Si dos buzones de correo usan el mismo dominio, no asuma que la pantalla del cliente de correo responde cómo el evaluador maneja esa construcción de múltiples autores; conservar el resultado de la extracción y probar la implementación.
Mantenga la evidencia de autenticación vinculada a la identidad analizada
Un SPF o DKIM El pase para un dominio no puede explicar otra identidad mostrada sin la información requerida. alineación análisis. Conserve todos los valores DKIM d relevantes y los resultados del receptor confiable. También conserve los bytes exactos de origen, incluidos el plegado y los comentarios, para que se pueda reproducir el análisis.
No reescriba el De original a un solo autor antes de verificar la firma original o investigar lo que vio el sistema receptor. Una copia reescrita puede resultar útil como caso de prueba independiente, pero etiquétela como un elemento modificado con una pregunta de identidad diferente.
Es posible que un intento rechazado nunca produzca encabezados entregados. Preservar la respuesta SMTP y los registros de recepción cuando estén disponibles en lugar de inventar una entrega Authentication-Results muestra.
Presentación y procesamiento de la prueba.
La preocupación por la seguridad incluye lo que ve el destinatario. Un componente puede evaluar una estructura mientras un cliente de correo destaca un autor aparente diferente. En un entorno de prueba autorizado, compare la salida del analizador, el resultado de la autenticación, el manejo y la línea del remitente mostrada para exactamente el mismo dispositivo.
Registre versiones y configuraciones de software con observaciones reales. No copie el comportamiento de un cliente en un reclamo universal. RFC 9989 identifica las construcciones de múltiples dominios como una forma potencial de evitar el procesamiento DMARC normal, por lo que un resultado etiquetado como "no evaluado" no debe presentarse como "seguro".
Una configuración saliente práctica generalmente se beneficia de un buzón de correo claro para el correo automatizado normal. Cuando se necesite una funcionalidad genuina de múltiples autores, confirme el formato aplicable y el manejo admitido con los sistemas que lo procesarán en lugar de asumir que un campo Remitente requerido resuelve todos los problemas de autenticación posteriores.
La investigación está completa cuando preserva la sintaxis original, explica la decisión del dominio extraído y conecta esa decisión con el manejo y la presentación reales del receptor. Mantenga visible el procesamiento excepcional o incompleto en lugar de fabricar una única respuesta de autenticación ecológica.