Uma captura de tela da caixa de entrada raramente contém evidências suficientes para diagnosticar um problema de autenticação. Comece com a mensagem exata recebida na caixa de correio afetada. Preserve quando e onde foi obtido e, em seguida, colete a visualização completa da mensagem original. Isso mantém uma análise posterior vinculada à cópia real que produziu a experiência relatada.
Obtenha a evidência em nível de mensagem
Referências: RFC 6376 §3.7.
As instruções do navegador do Google são para abrir o e-mail, usar Mais ao lado de Responder, escolher Mostrar original e copiar o cabeçalho completo. Escolha a mensagem afetada em vez de um item diferente na mesma conversa. Salve o artefato de mensagem original disponível separadamente quando uma exportação com preservação de bytes estiver disponível; um cabeçalho copiado por si só não inclui tudo o que é necessário para verificar novamente DKIM. Instruções de cabeçalho Gmail.
Registre o contexto da caixa de correio, o horário da coleta e se o artefato é uma exportação bruta, texto copiado ou captura de tela. Um analista deve saber se os finais de linha, dobras ou conteúdo MIME podem ter mudado durante a coleta. Não encaminhe a mensagem in-line e descreva a nova mensagem resultante como um original intocado.
Leia identidades, bem como resultados
Referências: RFC 8601 §5.
O Google explica que as informações enviadas e assinadas podem ajudar a inspecionar a autenticação, enquanto uma mensagem não autenticada não é automaticamente spam e uma mensagem autenticada não é automaticamente segura. Trate os indicadores visuais como um ponto de entrada e, em seguida, retenha todas as evidências para análise técnica. Ajuda para autenticação Gmail.
No confiável Authentication-Results campo, preserve o SPF resultado e sua identidade avaliada, o resultado DKIM e domínio de assinatura e o DMARC resultado e visível do domínio. Não combine resultados de saltos não relacionados em um veredicto de receptor imaginado. Uma mensagem pode conter múltiplas assinaturas ou campos de resultado de autenticação, portanto registre sua ordem e escopo. RFC 8601.
Mantenha as evidências recebidas distintas da nova verificação
Referências: RFC 6376 §3.6, RFC 6376 §6.
O resultado do receptor descreve sua avaliação no tempo de processamento. Uma verificação DKIM local hoje avalia os bytes e o material chave disponível hoje. Uma rotação de chave, uma resposta DNS alterada ou uma exportação modificada podem produzir um resultado diferente sem provar que o receptor original estava errado. O texto do cabeçalho registra uma observação reivindicada; não é em si uma nova verificação criptográfica. RFC 6376 seções 3 e 6.
A mensagem sintética que acompanha possui dois campos Authentication-Results . O analisador retorna ambos em vez de escolher silenciosamente o primeiro. Este é um teste de extração, não uma captura Gmail ou um algoritmo de confiança. Numa investigação real, o serviço receptor e a rota confiável devem estabelecer qual resultado é relevante.
Compartilhe o menor artefato útil
Referências: RFC 8601 §7.
Mantenha o original restrito. Crie uma cópia de diagnóstico etiquetada separadamente quando o conteúdo completo da mensagem ou endereços pessoais forem desnecessários. Preserve as relações de domínio e os carimbos de data/hora necessários para a pergunta e divulgue quaisquer edições. Para verificação de assinatura, providencie uma transferência segura autorizada dos bytes não modificados, em vez de fingir que uma cópia editada sempre pode ser verificada.
O Google também descreve um analisador de cabeçalho online, mas colar evidências em qualquer analisador as transmite para esse serviço. Revise as regras de destinatário, dados e compartilhamento organizacional antes de fazer isso. Termine com uma declaração clara do que foi observado no Gmail , o que foi inferido e o que ainda não foi testado.
Leia a amostra anotada sem conceder confiança
Referências: RFC 8601 §5.
O registro de anotação retido lista cada campo bruto em ordem com seu gerador real, origem reivindicada e limite de confiança. From é uma identidade fornecida pelo autor; Para é um destinatário exibido em vez de uma prova do envelope SMTP . ID da mensagem, data e assunto são contextos controlados pelo remetente. Cada campo Authentication-Results reivindica um serviço e resultado de relatório, mas nem trusted.example nem untrusted.example estabelecem a proveniência genuína do receptor. List-ID nomeia a lista reivindicada; os campos de cancelamento de assinatura descrevem um mecanismo de ação, não a propriedade da lista. Na amostra de classificação, CAT, DIR, SCL e BCL são veredictos inventados no estilo da Microsoft, e não observações da Microsoft. Nenhuma cadeia recebida, identidade de envelope SPF ou IP de conexão foi estabelecida.
Use este mapa como um exemplo de ensino anotado. Para uma mensagem real, substitua cada origem assumida por evidências de coleta e recebimento e deixe qualquer limite não verificado explicitamente sem solução.