Authentication-Results laat een mailsysteem authenticatie-evaluaties communiceren met downstream-componenten. Het is juist nuttig omdat een filter of gebruikersinterface mogelijk niet elke originele controle herhaalt. Dat nut schept ook een veiligheidsafhankelijkheid: de consument moet weten welk rapport van de beoordelaar hij leest en of een aanvaller dat rapport had kunnen aanleveren.
Lees het resultaat samen met zijn identiteit
Het veld bevat een identificatieservice-ID, gewoonlijk authserv-id genoemd, gevolgd door methoderesultaten en eigenschappen. Een resultaat zoals spf=pass heeft de bijbehorende geëvalueerde identiteit nodig; dkim=pass betreft een bepaald ondertekeningsdomein; dmarc=pass betreft het betreffende auteursdomein uitlijning evaluatie. Verzamel het woord 'pas' nergens in de koptekst en toon een universeel geauthenticeerde badge. RFC 8601 paragrafen 2.2 en 2.7.
De authenticatiedienst-ID benoemt de rapportagedienst in de relevante administratieve context. Het is geen handtekening over het veld. Een afzender kan dezelfde identificatie in een bericht typen, tenzij grensafhandeling verhindert dat dat niet-vertrouwde veld wordt aangezien voor een lokaal gegenereerd veld.
Definieer de vertrouwde bronnen van de consument
Breng het daadwerkelijke ontvangstpad tot stand, inclusief goedgekeurde upstream-gateways en interne relais. Documenteer welke service-ID's worden verwacht, welke componenten resultaten genereren en hoe externe velden worden verwijderd of als niet-vertrouwd worden bewaard. De beveiligingsrichtlijnen van RFC 8601 pakken dit vertrouwensgrensprobleem aan. Leid een veilige configuratie niet alleen af op basis van een plausibele hostnaam of het veld dat bovenaan een gekopieerd bericht verschijnt. RFC 8601 sectie 7.
Een configuratiewijziging aan een upstream-gateway kan veranderen welke resultaten downstream bruikbaar zijn. Controleer de afhankelijkheid in plaats van simpelweg elke nieuwe ID aan een vertrouwde lijst toe te voegen. Een verouderde vertrouwensbeslissing kan een anderszins goed ontleed resultaat misleidend maken.
Lees een hypothetisch methodespecifiek rapport
Stel dat de gevestigde ontvangende evaluator spf=pass voor smtp.mailfrom= vendor.example rapporteert, dkim=pass voor header. d=brand.example en dmarc=pass voor header. from=brand.example. SPF pass komt niet overeen alleen maar omdat er pass staat; de exacte DKIM ondertekeningsdomein in dit voorbeeld komt overeen met het auteursdomein. De gerapporteerde DMARC uitkomst is daarom verenigbaar met die afgestemde handtekening, uitgaande van een toepasselijk beleid en geen onopgeloste evaluatiefout.
Stel nu dat een ander veld spf= rapporteerttemperror. Overschrijf het eerste SPF resultaat niet zonder de evaluator-, hop- en geëvalueerde identiteit te identificeren. De twee rapporten kunnen verschillende evaluaties beschrijven. Als die context ontbreekt, rapporteer dan het conflict en de onzekerheid. Dit zijn hypothetische rapportwaarden en geen onafhankelijk berekende SPF , DKIM of DMARC resultaten.
Een nuttige consumentenuitvoer geeft de vertrouwde beoordelaar een naam en geeft elke methode, domein en resultaat afzonderlijk weer. Het mag een niet-vertrouwd rapport met dezelfde naam niet promoten alleen maar omdat de hostnaam lijkt op de geconfigureerde service.
Bewaar nuance in het vonnis
Houd de resultaten van de methode gescheiden, inclusief geen, mislukte en foutstatussen, indien van toepassing. Een afwezig resultaat is geen fout die u hebt waargenomen, en een tijdelijk evaluatieprobleem is geen bewijs dat de permanente configuratie van het domein verkeerd is. Correleer het geselecteerde rapport met bericht- en verbindingsbewijs voordat u herstelt. Eindig met de rapportagedienst, de gevestigde vertrouwensbasis, de methode en identiteit, en de limiet van de conclusie. Authenticatie kan routerings- of filterbeslissingen ondersteunen zonder de bedoeling van de afzender te certificeren.
Noteer wat elk resultaat daadwerkelijk betekent
- Evaluator: noem de dienst en het bewijsmateriaal dat de oorsprong ervan vaststelt.
- Methode: bewaar SPF , DKIM en DMARC als afzonderlijke resultaten.
- Identiteit: koppel het geëvalueerde domein of eigendom aan zijn eigen resultaat.
- Onzekerheid: houd de statussen ontbrekend, geen, mislukt en fout gescheiden.
- Consument: bevestig dat gatewaywijzigingen de vertrouwensconfiguratie niet ongeldig hebben gemaakt.