Um cabeçalho do e-mail é uma coleção de campos escritos por diferentes sistemas em momentos diferentes. Alguns campos expressam as reivindicações do próprio remetente; outros relatam o que um receptor observou. Uma investigação útil identifica quem poderia ter escrito cada campo importante antes de decidir o que isso prova. Um analisador de cabeçalho colado não pode estabelecer essa procedência apenas a partir do texto.
Preservar um original completo
Obtenha a mensagem original por meio do método de exportação suportado pelo sistema receptor, quando autorizado. Retenha os bytes originais separadamente de uma cópia de trabalho anotada. Capturas de tela, cópias encaminhadas e fragmentos de cabeçalho copiados podem omitir campos duplicados, alterar a dobra de linha ou adicionar novos eventos de transporte. Registre a caixa postal de origem, o horário de coleta e os limites de acesso sem distribuir desnecessariamente o conteúdo da mensagem.
Preservar campos duplicados e sua ordem. Lendo dois recebidos ou Authentication-Results Fields estabelece o que a mensagem exportada contém, não quem escreveu cada campo. Uma análise bem-sucedida não é uma verificação de autenticação.
Identifique o limite de recebimento confiável
Use o conhecimento do administrador, a configuração do gateway e os logs de entrega para estabelecer quais sistemas manipularam a mensagem dentro do domínio administrativo confiável. Localize os resultados de autenticação que esses sistemas geraram ou nos quais confiam explicitamente. Uma sequência familiar de authserv-id é insuficiente se um remetente externo puder inserir a mesma sequência e o limite de recebimento não conseguir removê-la ou distingui-la. Seções 1.2 e 7 RFC 8601.
Em seguida, conecte os resultados selecionados às suas identidades avaliadas. SPF diz respeito à identidade SMTP utilizada nessa avaliação; DKIM identifica um domínio de assinatura; DMARC relaciona identificadores autenticados ao domínio From visível. Não substitua Reply-To, Sender ou Message-ID por essas entradas. Uma passagem é um resultado de autenticação de domínio limitado e não uma prova de que a mensagem é inofensiva ou de que sua solicitação comercial é legítima.
Leia a trilha de transporte com um ponto de parada
Os campos recebidos normalmente são acrescentados à medida que o correio passa pelos sistemas SMTP . Leia a parte confiável da entrada mais recente até os saltos anteriores e, em seguida, pare de tratar a cadeia como estabelecida quando você cruzar com material fornecido não confiável. Correlacione o endereço de conexão, o identificador da fila e a hora com os logs do sistema receptor. Um salto reivindicado mais antigo pode ser fabricado mesmo quando um salto confiável posterior recebeu genuinamente a mensagem. RFC 5321 seção 4.4.
Se um salto anterior não puder ser corroborado, preserve o seu texto como uma afirmação em vez de estender a rota verificada através dele. A presença de um receptor confiável posterior não autentica todas as informações de rastreamento pré-existentes.
Produza uma breve conclusão baseada em evidências
Indique a fonte de recepção observada, o resultado da autenticação confiável, as diferenças de identidade relevantes e as lacunas não resolvidas. Por exemplo, explique que o resultado de recebimento selecionado relata falha para o domínio do autor visível, enquanto um resultado fornecido não relacionado afirma ser aprovado. Não escolha silenciosamente o resultado favorável. Quando a proveniência não estiver disponível, rotule a conclusão como condicional e solicite a evidência do receptor original antes de tomar uma ação consequencial de segurança ou comercial.
Trabalhe em uma revisão de fatura hipotética
Suponha que uma exportação original autorizada exiba From: accounts@brand.example e Reply-To: help@different.example . Ele também contém um relatório do receptor de falha do DMARC e um relatório fornecido não relacionado reivindicando aprovação. Estas são observações inventadas, não um incidente capturado.
Primeiro estabeleça qual relatório o sistema receptor real gerou. Se seus registros e limites documentados corroborarem a relatório de falha, retenha o resultado relatado e exclua a reivindicação de passe não relacionada. Se a proveniência não puder ser estabelecida, diga que a autenticação confiável é desconhecida em vez de escolher o resultado preferido. Em seguida, confirme o destino incomum da resposta por meio de um contato estabelecido ou fluxo de trabalho aprovado antes de enviar informações confidenciais.
O resultado não é uma declaração de que o remetente é fraudulento. É uma revisão limitada: fonte de mensagem conhecida, resultado de autenticação suportado ou incerteza explícita, destino de resposta inexplicado e próxima verificação justificada. Nenhum analisador, verificador, caixa de correio ou solicitação de pagamento foi testado aqui.
Escreva um resumo de cabeçalho pronto para decisão
- Fonte: identificar o horário de exportação e coleta original autorizado.
- Confiança: nomeie o sistema receptor e comprove os registros ou limites documentados.
- Identidades: registro de, identidade SPF avaliada e domínio de assinatura DKIM separadamente.
- Escopo: distinguir a autenticação relatada da segurança do conteúdo e da autoridade comercial.
- Próxima ação: resolva a menor lacuna de evidência antes de alterar DNS ou responder a uma solicitação confidencial.