En nedströms DMARC pass bekräftar inte att personen som initierade ett meddelande var behörig att använda dess synliga avsändare. LaunDroMARC-undersökningen från december 2025 från Engage Security beskriver en indirekt väg där remailing ändrar identiteten som utvärderas av SPF. Förstå de enskilda hoppen innan du beskriver upptäckten som en universell DMARC bypass eller antar att alla Microsoft-hyresgäster beter sig på samma sätt idag.
Separera de två beviskällorna
Den ursprungliga forskaren beskriver ett inkommande meddelande som passerade SPF för sin egen kuvertdomän men misslyckades med DMARC mot den imiterade synliga From-domänen. I det rapporterade fallet skrev en vidarebefordran av Microsoft 365 om kuvertet till vidarebefordrandomänen, vilket också matchade den synliga From-domänen. Den slutliga mottagaren observerade sedan inriktad SPF . Forskarna rapporterar olika behandling av originalet och vidarebefordrade kopior. Dessa är tillskrivna resultat från deras undersökning, inte observationer som gjorts för denna granskning. Engagera säkerhetsforskning.
Microsofts dokumentation förklarar det SRS förändringar MAIL FRÅN, inte det synliga Från-fältet, och ger omskrivningsmönster för tillämpliga vidarebefordringsrutter. Den varnar också för att SRS normalt inte löser DMARC inriktning för vidarebefordrad post. Dessa uttalanden är förenliga med forskningens speciella identitetssammanfall: vanligtvis skiljer sig den ursprungliga From-domänen från speditörens domän; det rapporterade fallet avser medvetet samma domän. Microsoft SRS-dokumentation.
Förstå nedströms domen
Referenser: RFC 9989 §4.4, RFC 8601 §5.
SPF frågar om den anslutande värden är auktoriserad för kuvertidentiteten vid det hoppet. DMARC jämför en autentiserad domän med den synliga From-domänen. Inget av resultaten, fristående, rekonstruerar hur den ursprungliga skådespelaren fick tillgång till ett arbetsflöde för vidarebefordran. Ett nedströmsjusterat resultat kan därför vara korrekt för de utvärderade identiteterna samtidigt som det fortfarande är otillräckligt bevis på affärstillstånd.
Tolka inte ett SRS-utseende Return-Path som bevis på att Microsoft producerade det. Bevara den slutliga mottagarens pålitliga resultat, peer-information och meddelandespårning, och jämför bevis från mottagnings- och vidarebefordrande gränser. Godtycklig inbäddad Authentication-Results text är inte en pålitlig dom. RFC 8601 förklarar kravet på förtroendegräns; RFC 9989 tillhandahåller domänjusteringskontexten.
Reproducera endast identitetsjämförelsen
Privatgranskningspaketets uteblivna leveransmodell innehåller två fiktiva fall. I normalfallet skiljer sig den ursprungliga synliga author.test-domänen från det omskrivna forwarder.test-kuvertet, så det antagna SPF passet nedströms förblir ojusterat. I det andra fallet är den synliga domänen forwarder.test; samma omskrivna kuvert justeras nu. Båda börjar med en annan original kuvertdomän och inte justerade DKIM.
De bibehållna fixturingångarna beräknades om offline den 8 november 2026 med denna exakta domänjämförelse. Den skickar inte falsk post, skapar inte vidarebefordransregler, utövar Exchange Online , implementerar SRS-hashar eller bevisar att en aktuell hyresgäst accepterar rutten. Dess syfte är att förklara varför de två domarna skiljer sig åt utan att reproducera en attack mot en verklig tjänst. Historiskt leverantörsbeteende, nuvarande hyresgästbeteende och den abstrakta jämförelsen förblir separat märkta.
Undersök defensivt
Lagergodkänd extern spedition och dess företagare. För en misstänkt incident, bevara originalet och vidarebefordrade kopior, tidsstämplar, routningsmetod, pre-forward-autentisering och slutresultat. Granska leverantörens aktuella dokumentation och meddelandespårning innan du ändrar en regel. Microsoft-källan skiljer tillämplig vidarebefordran från reläpool och lokala fall, så ett enda konfigurationsanspråk är inte tillräckligt för att täcka varje sökväg.
Tillämpa ändringar genom organisationens godkända e-postsäkerhetsprocess och testa legitima arbetsflöden efteråt. Undvik breda tillåtelseregler som enbart baseras på leverantörens infrastruktur eller nedströms passresultat. Den här artikeln fastställer mekanismen och utredningsfrågor. Den hävdar inte ett overifierat åtgärdsdatum, universell exponering, framgångsrikt utnyttjande eller ett aktuellt Microsoft-tjänstdefekt.