Un mensaje entrante puede pasar la autenticación de dominio y aun así pedirle al destinatario que haga algo peligroso. También puede fallar la autenticación porque se rompió una ruta legítima. Trate la autenticación como una propiedad medida de un mensaje y luego aplique los demás controles del sistema receptor y el proceso de verificación comercial de la organización. Colapsar estos pasos produce tanto una falsa tranquilidad como una perturbación innecesaria.
Identifica las tres decisiones.
La primera decisión es técnica: ¿se alineó un identificador autenticado con el dominio del autor según la legislación aplicable? DMARC ¿normas? El segundo es operativo: ¿cómo debería este entorno receptor manejar el mensaje, considerando las políticas y otras señales? El tercero es específico del negocio: ¿la acción solicitada es legítima y está autorizada? RFC 9989 define la autenticación y la política basada en dominio; no convierte un mensaje de paso en aprobación para pagar una factura. especificación DMARC.
Registre estas decisiones en campos separados. Para una solicitud de cambio de factura, el campo de autenticación puede estar aprobado, el campo de manejo en cuarentena pendiente de revisión y el campo comercial no verificado. Esos valores son compatibles. Un receptor puede utilizar señales fuera de DMARC y un empleado debe seguir el flujo de trabajo de aprobación independiente incluso cuando el correo esté autenticado.
Utilice resultados de un límite confiable
Un Encabezado Authentication-Results es útil sólo cuando se comprende su procedencia. Los atacantes pueden insertar texto de encabezado en un mensaje. La organización receptora debe distinguir los resultados producidos por su servicio de autenticación confiable de las afirmaciones que no son confiables. RFC 8601 describe ese límite de confianza. Resultados de autenticación.
Conserve el mensaje sin formato y los registros del sistema receptor de confianza. Compare el dominio De visible con cada verificado DKIM dominio de firma y el SPF identidad realmente evaluada. Evite tratar el nombre para mostrar, el campo Responder a o una captura de pantalla reenviada como el dominio del autor autenticado. Si el mensaje fue reenviado, registre el punto de evaluación original y las transformaciones posteriores antes de decidir qué evidencia se aplica.
Compara tres solicitudes sintéticas
Considere tres mensajes hipotéticos de cambio de pago. El primero afirma brand.test pero solo tiene una firma aprobatoria de evil.test y no tiene SPF aprobado; el supuesto identificador único autenticado falla estrictamente alineación. El segundo utiliza brand-pay.test tanto en From como en su identidad DKIM de paso, por lo que su autenticación modelada pasa a pesar de la preocupación por la similitud. El tercero utiliza brand.test de manera constante y también pasa, lo que deja posible el abuso de la cuenta o una solicitud no autorizada.
La acción empresarial propuesta para cada caso es: retener el cambio y verificarlo de forma independiente. Estas son entradas de autenticación inventadas, no resultados criptográficos o del receptor. Los casos escritos asumen que las identidades indicadas son los únicos identificadores autenticados disponibles, aíslan la coincidencia estricta de dominio exacto y no implementan el descubrimiento DMARC completo. No se ejecutó ninguna prueba de mensaje, firma o receptor. Demuestra por qué la acción empresarial no se puede calcular únicamente a partir del valor booleano de autenticación.
Manejo del diseño sin pasar por alto la revisión
Elija mensajes de prueba autorizados para cada ruta de control y registre si el sistema los rechazó, los puso en cuarentena, los entregó o los reparó posteriormente. La etiqueta de característica de un proveedor no es evidencia de su comportamiento configurado. Incluya excepciones y permita reglas en la prueba porque pueden cambiar el resultado efectivo. Evite las listas de permitidos amplias simplemente para hacer pasar una ruta legítima rota.
Para solicitudes financieras utilizar un canal de contacto previamente establecido. El FBI recomienda verificar de forma independiente las solicitudes de pago y los cambios en los detalles de la cuenta. No utilice los datos de contacto introducidos por el mensaje sospechoso como ese canal independiente. Guía del FBI sobre compromiso de correo electrónico empresarial.
Cierre una revisión con las tres decisiones, la evidencia de cada una de las cuestiones no resueltas. Esto permite al equipo de correo reparar la autenticación mientras finanzas retiene el pago, o a seguridad investigar un mensaje pasajero pero sospechoso sin afirmar que DMARC es defectuoso.
Límite de origen y ejecución
RFC 9989 Secciones 4.4, 5.3.5 y 5.4 distinguir autenticación, alineación y manejo; un pase no respalda el contenido del mensaje. Las decisiones operativas aquí son recomendaciones de alcance y ejemplos explícitamente hipotéticos, no nuevas pruebas de un cliente, proveedor o elemento histórico. Cualquier cambio real requiere su propio alcance autorizado, evidencia retenida y una decisión responsable.