Γιατί το Email που Προώθησες στον Εαυτό σου Έφτασε στα Spam

Ρύθμισε μια αυτόματη προώθηση από τον παλιό σου λογαριασμό στον νέο, και ορισμένα από τα μηνύματά σου θα εξαφανιστούν σιωπηλά στα spam — όχι επειδή ο πάροχός σου είναι κατεστραμμένος, αλλά επειδή η προώθηση αναγράφει ξανά ποιος στέλνει το μήνυμα χωρίς να αναγράφει ξανά την κρυπτογραφική απόδειξη. Το SPF ελέγχει τον λάθος διακομιστή, το DMARC αποτέλεσμα αλλάζει σε αποτυχία, και ένα νόμιμο email που έστειλες στον εαυτό σου τοποθετείται σε καραντίνα. Η διόρθωση έχει όνομα: ARC, που ορίστηκε στο RFC 8617 το 2019.

Γιατί η προώθηση κάνει το mail μου να αποτυγχάνει το SPF;

Επειδή το SPF ελέγχει τον τελευταίο διακομιστή που μετέφερε το μήνυμα, και η προώθηση αλλάζει αυτόν τον διακομιστή. SPF — Sender Policy Framework — είναι ένα DNS record που αναφέρει ποιες IP διευθύνσεις επιτρέπεται να στέλνουν mail για ένα domain. Όταν η bank.com σου στέλνει μια απόδειξη, ο διακομιστής παραλαβής ελέγχει: ήρθε αυτό από μια IP που εξουσιοδότησε η bank.com; Ναι. Πέρασε.

Τώρα προώθησε αυτή την απόδειξη από το Gmail σου στη νέα σου διεύθυνση. Οι διακομιστές της Google την μεταφέρουν παρακάτω. Ο τελικός διακομιστής παραλαβής εκτελεί τον έλεγχο SPF και ρωτά: είναι η Google εξουσιοδοτημένη να στέλνει για την bank.com; Όχι, δεν είναι. Το SPF αποτυγχάνει. Η δική της τεκμηριώνηση Workspace της Google το εξηγεί ξεκάθαρα — τα προωθημένα μηνύματα αποτυγχάνουν το SPF επειδή ο διακομιστής προώθησης δεν βρίσκεται στο SPF record του αρχικού domain. Τίποτα δεν ήταν πλαστογραφημένο. Ο έλεγχος απλώς κοιτά το λάθος hop.

Γιατί λοιπόν το στέλνει αυτό στα spam;

DMARC. Το SPF να αποτυγχάνει μόνο του ήταν κάποτε επιζώσιμο· το DMARC το έκανε ένα αποτέλεσμα. Το DMARC συνδέει το SPF και το DKIM μαζί και λέει στους δέκτες τι να κάνουν όταν και τα δύο αποτυγχάνουν: τίποτα, καραντίνα ή απόρριψη. Μέχρι το 2024, οι μεγάλοι αποστολείς δεν είχαν επιλογή — η Google και η Yahoo άρχισαν να απαιτούν DMARC από οποιονδήποτε στέλνει περισσότερα από 5.000 μηνύματα ημερησίως στους χρήστες τους.

DKIM, ο άλλος στύλος, είναι μια υπογραφή ενσωματωμένη στο μήνυμα. Θεωρητικά επιβιώνει της προώθησης, επειδή υπογράφει το περιεχόμενο, όχι την διαδρομή. Στην πράξη, τίποτα που αγγίζει το μήνυμα δεν το σπάει. Μια mailing list που προσθέτει ένα footer "έχετε εγγραφεί, εξαιρεθείτε εδώ", ένας διακομιστής που ξαναγράφει τη γραμμή θέματος, ακόμη και μια αλλαγή στο πώς διακόπτεται μια γραμμή — η υπογραφή δεν ταιριάζει πλέον, και το DKIM αποτυγχάνει επίσης. Τώρα και οι δύο στύλοι είναι κάτω, το DMARC λέει αποτυχία, και η δική σου απόδειξη είναι στο φάκελο junk.

Τι είναι το ARC και καθιστά αυτό πραγματικά διορθώνει;

ARC — Authenticated Received Chain, RFC 8617 — επιτρέπει σε έναν ειλικρινή προωθητή να εγγυηθεί ότι το mail πέρασε την αυθεντικοποίηση πριν το αγγίξει. Ο διακομιστής προώθησης σφραγίζει το μήνυμα με ένα σφραγισμένο record που λέει «όταν αυτό με έφτασε, το SPF και το DKIM ήταν έγκυρα — πίστεψε τη λέξη μου για το leg που δεν μπορείς να επαληθεύσεις.» Ο τελικός δέκτης, αν εμπιστεύεται αυτόν τον προωθητή, μπορεί να παρακάμψει την αποτυχία DMARC και να παραδώσει.

Το πιάσιμο είναι στο «αν εμπιστεύεται.» Το ARC δεν είναι κωδικός πρόσβασης· είναι ένα σύστημα φήμης. Ένας δέκτης σταθμίζει αν το ARC sealer είναι ένας γνωστός, καλώς συμπεριφερόμενος χειριστής. Η Google και σφραγίζει τα ARC headers και τα τιμά από τους αποστολείς που εμπιστεύεται, γι' αυτό μια προώθηση Gmail-σε-Gmail συνήθως επιβιώνει ενώ μια προώθηση μέσα από κάποιο αρχαίο relay του πανεπιστημίου δεν συμβαίνει.

Αν εσύ τρέχεις την προώθηση, δύο συγκεκριμένες κινήσεις βοηθούν. Χρησιμοποίησε Server-Side Redirect / SRS-style rewriting αν ο host σου το προσφέρει, που ξαναγράφει τον envelope sender ώστε το SPF να ελέγχει την δική σου προώθηση αντί του αρχικού domain. Και προτίμησε προώθηση μεταξύ παρόχων που και οι δύο υποστηρίζουν ARC. Αν ενοποιείς λογαριασμούς και θέλεις το προορισμό να χειριστεί απλώς το πρόβλημα αυθεντικοποίησης για σένα, αυτό είναι ακριβώς το είδος της σωληνώσεως που μια AI email platform είναι κατασκευασμένη να απορροφήσει.

Πότε θα πρέπει να σταματήσω να κατηγορώ τον πάροχό μου;

Όταν το σχέδιο είναι «μόνο τα προωθημένα μηνύματα αποτυγχάνουν,» ο πάροχος κάνει τη δουλειά του σωστά — το πρωτόκολλο είναι το πρόβλημα. Ορίστε το σημάδι: ανοίξε τις κεφαλίδες του χαμένου μηνύματος και ψάξε τη γραμμή Authentication-Results. Αν δεις spf=fail δίπλα σε μια αποστολή IP που ανήκει σε έναν προωθητή αντί του αρχικού αποστολέα, αυτό είναι SPF να ελέγχει το λάθος hop. Αν dkim=fail εμφανιστεί σε mail που περάσαμε μέσα από μια λίστα ή ένα relay που επεξεργάζεται μηνύματα, αυτή είναι μια κατεστραμμένη υπογραφή, όχι μια πλαστογραφία.

Η δύσχερη αλήθεια είναι ότι η αυθεντικοποίηση email ήταν προσαρμοσμένη, στρώμα ανά στρώμα, πάνω από δύο δεκαετίες σε ένα σύστημα που ποτέ δεν υπέθεσε ότι κανείς θα έλεγε ψέματα. Το SPF ήρθε το 2006, το DKIM το 2007, το DMARC το 2015, το ARC το 2019 — το καθένα διορθώνει μια τρύπα που το τελευταίο άνοιξε. Η προώθηση είναι η ραφή όπου και τα τέσσερα τρίβονται το ένα στο άλλο, και το inbox σου είναι ο τόπος όπου νιώθεις την τριβή.

@@END@@