A frase DMARC bypass pode descrever eventos muito diferentes. Uma passagem válida de uma fonte excessivamente autorizada, a entrega apesar de um resultado com falha e um erro de implementação não são a mesma falha. Comece com uma afirmação falsificável: qual identidade foi afirmada, quais evidências foram confiáveis e qual decisão diferiu da regra esperada?
Reconstrua a decisão observada
Preservar o domínio do autor, o domínio do envelope, os domínios de assinatura, os resultados de autenticação confiável e a disposição do receptor. Registre a política e o tempo de observação. Uma mensagem entregue não prova, por si só, uma aprovação no DMARC . O tratamento do destinatário inclui política local e o tratamento solicitado pelo proprietário do domínio não é uma garantia de entrega universal. RFC 9989.
Da mesma forma, uma cópia Authentication-Results string não é prova da decisão do sistema receptor. Estabeleça o serviço de autenticação confiável e o salto relevante. RFC 8601. Se a única evidência for uma captura de tela dizendo aprovação, preserve a reivindicação como não resolvida até que as identidades subjacentes e o contexto de confiança estejam disponíveis.
Separe a autorização excessiva da evasão de regras
BreakSPF estuda quão permissivo SPF autorização e acesso à infraestrutura compartilhada podem permitir falsificação. Seu modelo de ameaça fornece ao invasor um caminho de origem elegível; o destinatário poderá então avaliar a autorização publicada conforme escrita. BreakSPF, Seção III.A e Figura 3.
Se a fonte controlada pelo invasor estiver dentro de um intervalo autorizado e usar uma identidade de envelope alinhada, a regra de passagem comum poderá ser bem-sucedida. A fraqueza está na autoridade concedida ou nos limites do serviço, e não em uma nova definição de DMARC . Por outro lado, se apenas uma identidade não relacionada for autenticada e o domínio do autor não estiver alinhado, uma passagem reivindicada precisa de uma explicação diferente.
Classifique três descobertas hipotéticas
Suponha um único From alerts@brand.test visível e uma avaliação DMARC elegível. Estas são hipóteses escritas, não incidentes observados.
- Caso de autorização: a fonte 192.0.2.99 está dentro de um intervalo SPF ip4:192.0.2.0/24 estipulado; CORREIO DE bounce@brand.test passa SPF ; não Assinatura DKIM. O caminho SPF alinhado produz uma passagem DMARC no nível da mensagem. Pergunte se essa fonte é realmente controlável por um remetente não intencional e qual proprietário lhe concedeu autoridade.
- Tratamento do caso: MAIL FROM bounce@other.test passa SPF e DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed alinhamento resultado.
- Caso de evidência: um cabeçalho copiado diz aprovado, mas a origem do receptor confiável, as identidades avaliadas e a política aplicada são desconhecidas. Nem uma violação de protocolo nem um passe confiável são estabelecidos. Solicite o registro original e do receptor.
Um remetente positivo autorizado 192.0.2.10 e uma fonte externa 198.51.100.10 podem fornecer controles propostos ao investigar o primeiro caso. Um registro hipotético ip4:192.0.2.10/32 -all admite apenas o primeiro; nenhuma mudança real na produção decorre dessa aritmética de prefixo. Não há analisador executado, verificação de assinatura ou exploração aqui.
A seção 7.4 RFC9989 requer DKIM válido para publicação de domínios p=reject. Um mecanismo SPF alinhado à passagem é suficiente para a condição de passagem de uma mensagem específica, mas não é uma recomendação para aplicação somente de SPF.
Torne a descoberta acionável
Nomeie a condição reproduzida e as evidências ainda faltantes. Uma descoberta útil diz que uma fonte específica é admitida por uma autorização específica e identifica o proprietário responsável. Isso não significa que toda a proteção DMARC foi derrotada. Verifique se o serviço real restringe as identidades dos inquilinos, se a fonte é realmente controlável e se o destinatário aplicou o resultado reivindicado.
Preserve um controle positivo autorizado e inofensivo ao testar uma mitigação proposta. Restringir um intervalo ou alterar um conector pode quebrar remetentes legítimos. Exija aprovação de alterações específicas da rota e verificação pós-alteração e mantenha o comportamento do provedor não testado no laboratório explicitamente sem solução. Isto apoia uma correção precisa sem exagerar um modelo educacional em uma vulnerabilidade de produção.