Para mi propio dominio ( mydomain.com , alojado con una G Suite gratuita), he configurado DMARC en modo de prueba:
v=DMARC1; p=none; sp=reject; aspf=s; adkim=s; rua=mailto:[email protected]
He enviado correos electrónicos de prueba a un grupo de direcciones de correo electrónico para tener una idea de si está funcionando bien o no, incluida mi cuenta de Gmail personal y dos direcciones de correo electrónico de lugares de trabajo ( workplace.com y otherworkplace.com ) que usan Exchange / Outlook / OWA que redirijo a mi cuenta personal de Gmail.
DMARC valida para todas excepto una de las dos direcciones del lugar de trabajo, pero solo después de enviarlas a mi cuenta personal de Gmail. Es decir, así es como se ven los encabezados cuando se reciben en mi lugar de trabajo (los saltos de línea cambiados por mí):
Authentication-Results: mx-ext2.workplace.com (amavisd-new);
dkim=pass (2048-bit key) header.d=mydomain.com
...
X-Greylist: Sender passed SPF test, not delayed by milter-greylist-4.5.16
(mx-ext2.workplace.com [IP]); Mon, 22 Jan 2018 21:59:22 +0100 (CET)
Cuando ese mismo correo llega a Gmail, este es el resultado de la autenticación:
ARC-Authentication-Results: i=1; mx.google.com;
dkim=neutral (body hash did not verify) [email protected]
header.s=google header.b=PbtXBzel;
spf=pass (google.com: domain of [email protected] designates WorkPlaceIP as
permitted sender) [email protected];
dmarc=fail (p=NONE sp=REJECT dis=NONE) header.from=mydomain.com
...
Received-SPF: pass (google.com: domain of [email protected] designates
WorkPlaceIP as permitted sender) client-ip=WorkPlaceIP;
Authentication-Results: mx.google.com;
dkim=neutral (body hash did not verify) [email protected]
header.s=google header.b=PbtXBzel;
spf=pass (google.com: domain of [email protected] designates WorkPlaceIP as
permitted sender) [email protected];
dmarc=fail (p=NONE sp=REJECT dis=NONE) header.from=mydomain.com
Nota body hash did not verify y dmarc=fail .
El cuerpo del correo electrónico está vacío, excepto por algunas etiquetas HTML. Según lo recibido por Gmail directamente:
Content-Type: multipart/alternative; boundary="94eb2c0d242e6d935c056363b612"
--94eb2c0d242e6d935c056363b612
Content-Type: text/plain; charset="UTF-8"
--94eb2c0d242e6d935c056363b612
Content-Type: text/html; charset="UTF-8"
<div dir="ltr"><br></div>
--94eb2c0d242e6d935c056363b612--
Recibido por Gmail a través de otro correo electrónico del lugar de trabajo:
Content-Type: multipart/alternative; boundary="f403045f58c6ca3863056363b147"
X-MS-Exchange-Inbox-Rules-Loop: [email protected]
--f403045f58c6ca3863056363b147
Content-Type: text/plain; charset="UTF-8"
--f403045f58c6ca3863056363b147
Content-Type: text/html; charset="UTF-8"
<div dir="ltr"><br></div>
--f403045f58c6ca3863056363b147--
Recibido por Gmail a través del correo electrónico que no es de trabajo:
Content-Type: multipart/alternative;
boundary="_000_3b36ca239c7e4763redacted_"
MIME-Version: 1.0
--_000_3b36ca239c7e4763redacted_
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
--_000_3b36ca239c7e4763redacted_
Content-Type: text/html; charset="iso-8859-1"
Content-ID: <[email protected]>
Content-Transfer-Encoding: quoted-printable
<html>
<head>
<meta http-equiv=3D"Content-Type" content=3D"text/html; charset=3Diso-8859-=
1">
</head>
<body>
<div dir=3D"ltr"><br>
</div>
</body>
</html>
--_000_3b36ca239c7e4763redacted_--
Entonces, workplace.com está cambiando no solo el charset , que no debería ser un gran problema debido a la normalización antes del cálculo de la firma DKIM; pero también el cuerpo mediante la introducción de etiquetas HTML adicionales en los archivos adjuntos. otherworkplace.com no parece estar haciendo eso.
workplace.com parece estar usando OWA 2013 (y, por lo tanto, Exchange Server 2013), mientras que otherworkplace.com parece estar usando una versión más nueva, a juzgar por la interfaz de usuario.
Mi comida para llevar es que
- Podría pedirle a mi propio personal de TI del lugar de trabajo que vea qué puede estar haciendo su servidor de Exchange (y tal vez haga que lo detengan), pero
- No puedo controlar todos los servidores de Exchange en el mundo, y hacer que uno haga algo como esto en mi muestra muy pequeña hace que este sea un problema probable en otros lugares, tan pronto como la gente reenvíe un correo electrónico desde la dirección de correo electrónico de Exchange / OWA.
Entonces, ¿cómo debo volver a configurar mis configuraciones de DMARC para obtener la máxima seguridad mientras mantengo una compatibilidad razonablemente alta?