Authentication-Results permite que um sistema de correio comunique avaliações de autenticação para componentes downstream. É útil precisamente porque um filtro ou interface de usuário pode não repetir todas as verificações originais. Essa utilidade também cria uma dependência de segurança: o consumidor deve saber qual relatório do avaliador está lendo e se um invasor poderia ter fornecido esse relatório.
Leia o resultado junto com sua identidade
O campo inclui um identificador de serviço de autenticação, comumente chamado de authserv-id, seguido pelos resultados e propriedades do método. Um resultado como spf=pass precisa de sua identidade avaliada associada; dkim=pass diz respeito a um domínio de assinatura específico; dmarc=pass diz respeito ao domínio do autor aplicável alinhamento avaliação. Não colete a palavra “passar” em qualquer lugar do cabeçalho e exiba um crachá universal autenticado. Seções 2.2 e 2.7 RFC 8601.
O identificador do serviço de autenticação nomeia o serviço de relatórios no contexto administrativo relevante. Não é uma assinatura no campo. Um remetente pode digitar o mesmo identificador em uma mensagem, a menos que o tratamento de limites impeça que esse campo não confiável seja confundido com um campo gerado localmente.
Defina as fontes confiáveis do consumidor
Estabeleça o caminho de recebimento real, incluindo gateways upstream aprovados e retransmissores internos. Documente quais identificadores de serviço são esperados, quais componentes geram resultados e como os campos externos são removidos ou preservados como não confiáveis. A orientação de segurança da RFC 8601 aborda esse problema de limite de confiança. Não infira uma configuração segura apenas a partir de um nome de host plausível ou do campo que aparece próximo ao topo de uma mensagem copiada. RFC 8601 seção 7.
Uma alteração na configuração de um gateway upstream pode alterar quais resultados são úteis no downstream. Revise a dependência em vez de simplesmente adicionar cada novo identificador a uma lista confiável. Uma decisão de confiança obsoleta pode tornar enganoso um resultado bem analisado.
Leia um relatório hipotético específico do método
Suponha que o avaliador de recebimento estabelecido relate spf=pass para smtp.mailfrom= vendor.example , dkim=pass para cabeçalho. d=brand.example e dmarc=pass para cabeçalho. from=brand.example. SPF pass não se alinha apenas porque diz pass; o exato DKIM o domínio de assinatura neste exemplo corresponde ao domínio do autor. O relatado DMARC o resultado é, portanto, compatível com essa assinatura alinhada, assumindo uma política aplicável e nenhum erro de avaliação não resolvido.
Agora suponha que outro campo relate spf=temperror. Não substitua o primeiro resultado SPF sem identificar seu avaliador, hop e identidade avaliada. Os dois relatórios podem descrever avaliações diferentes. Se esse contexto estiver faltando, relate o conflito e a incerteza. Estes são valores de relatório hipotéticos, e não resultados de SPF , DKIM ou DMARC calculados independentemente.
Uma saída útil do consumidor nomeia o avaliador confiável e exibe cada método, domínio e resultado separadamente. Ele não deve promover um relatório não confiável com o mesmo nome apenas porque seu nome de host se assemelha ao serviço configurado.
Preservar nuances no veredicto
Mantenha os resultados dos métodos separados, incluindo estados de nenhum, falha e erro, conforme aplicável. Um resultado ausente não é uma falha observada e um problema de avaliação temporário não é prova de que a configuração permanente do domínio está errada. Correlacione o relatório selecionado com evidências de mensagem e conexão antes da correção. Termine com o serviço de reporte, a sua base de confiança estabelecida, o método e a identidade, e o limite da conclusão. A autenticação pode suportar decisões de roteamento ou filtragem sem certificar a intenção do remetente.
Registre o que cada resultado realmente significa
- Avaliador: nomear o serviço e as evidências que comprovam sua origem.
- Método: preserve SPF , DKIM e DMARC como resultados separados.
- Identidade: anexe o domínio ou propriedade avaliada ao seu próprio resultado.
- Incerteza: manter estados ausentes, nenhum, falha e erro distintos.
- Consumidor: confirme se as alterações no gateway não invalidaram a configuração de confiança.