Miksi itsellesi välitetty sähköposti päätyi roskapostiin

Ota käyttöön automaattinen välitys vanhalta tililtä uudelle, ja osa postista katoaa hiljaa roskapostiin — ei siksi, että palveluntarjoajasi olisi rikki, vaan siksi, että välitys kirjoittaa uudelleen lähettäjän henkilöllisyyden ilman että kryptografinen todiste päivittyy. SPF tarkistaa väärää palvelinta, DMARC-tulos muuttuu epäonnistuneeksi, ja laillinen sähköposti, jonka lähetit itsellesi, asetetaan karanteeniin. Korjauksella on nimi: ARC, joka määriteltiin RFC 8617:ssä vuonna 2019.

Miksi välitys aiheuttaa SPF-virheen?

Koska SPF tarkistaa viimeisen palvelimen, joka välitti viestin, ja välitys muuttaa kyseisen palvelimen. SPF — Sender Policy Framework — on DNS-tietue, joka luettelee mitkä IP-osoitteet saavat lähettää sähköpostia verkkotunnukselle. Kun bank.com lähettää sinulle kuitin, vastaanottava palvelin tarkistaa: saapuiko tämä IP-osoitteesta, jonka bank.com on valtuuttanut? Kyllä. Hyväksytty.

Nyt välitä kyseinen kuitti Gmailistasi uudelle osoitteellesi. Googlen palvelimet välittävät sen eteenpäin. Lopullinen vastaanottava palvelin suorittaa SPF-tarkistuksen ja kysyy: onko Google valtuutettu lähettämään bank.com:n puolesta? Ei, se ei ole. SPF epäonnistuu. Googlen oman Workspace-dokumentaation mukaan välitetyt viestit epäonnistuvat SPF:ssä, koska välityspalvelin ei ole alkuperäisen verkkotunnuksen SPF-tietueessa. Mitään ei huijattu. Tarkistus vain katsoo väärää väliasemaa.

Joten miksi se sitten lähetetään roskapostiin?

DMARC. SPF-virhe yksinään oli ennen kestettävää; DMARC muutti sen tuomioksi. DMARC sitoo SPF:n ja DKIM:n yhteen ja käskee vastaanottajia, mitä tehdä kun molemmat epäonnistuvat: ei mitään, karanteeni tai hylkääminen. Vuoteen 2024 mennessä suurilla lähettäjillä ei ollut vaihtoehtoja — Google ja Yahoo alkoivat vaatia DMARC:ia kaikelta, joka lähettää yli 5 000 viestiä päivässä heidän käyttäjilleen.

DKIM, toinen pilari, on viestiin upotettu allekirjoitus. Teoriassa se kestää välityksen, koska se allekirjoittaa sisällön, ei reittiä. Käytännössä kaikki, joka koskettaa viestiä, rikkoo sen. Postituslista, joka liittää "olet tilannut tämän, poista tilaus täältä" -tekstin alalaitaan, palvelin, joka kirjoittaa uudelleen otsikkorivin, jopa rivinvaihdon tavan muutos — allekirjoitus ei enää täsmää, ja DKIM epäonnistuu myös. Nyt molemmat pilarit ovat sortuneet, DMARC sanoo epäonnistunut, ja oma kuittisi on roskapostikansassa.

Mikä on ARC ja korjaako se ongelman?

ARC — Authenticated Received Chain, RFC 8617 — antaa rehellisen välittäjän vahvistaa, että posti läpäisi todentamisen ennen kuin se kosketti sitä. Välityspalvelin leimaa viestin sinetöidyllä tietueella, joka sanoo "kun tämä saapui minulle, SPF ja DKIM olivat kunnossa — luota minun sanaani sen välialueen osalta, jota et voi tarkistaa." Lopullinen vastaanottaja voi, jos se luottaa kyseiseen välittäjään, ohittaa DMARC-epäonnistumisen ja toimittaa viestin.

Ongelma on "jos se luottaa" -osassa. ARC ei ole salasana; se on maine-järjestelmä. Vastaanottaja punnitsee, onko ARC-sinetöijä tunnettu, hyvin käyttäytyvä toimija. Google sekä leimaa ARC-otsikot että kunnioittaa niitä lähettäjiltä, joihin se luottaa, minkä vuoksi Gmail-Gmail-välitys yleensä säilyy, kun taas välitys vanhan yliopiston välityspalvelimen kautta ei säily.

Jos suoritat välityksen itse, kaksi konkreettista liikettä auttaa. Käytä Server-Side Redirect / SRS-muotoilua, jos palveluntarjoajasi sen tarjoaa, mikä kirjoittaa uudelleen kirjekuoren lähettäjän niin, että SPF tarkistaa sinua vastaan olevaa välittäjää alkuperäisen verkkotunnuksen sijaan. Ja suosi välitystä palveluntarjoajien välillä, jotka molemmat tukevat ARC:ia. Jos yhdistät tilejä ja haluat kohdetilin vain hoitavan todentamisongelmien kanssa, se on juuri sellaista putkistoa, johon tekoälyn sähköpostialusta on rakennettu.

Milloin minun pitäisi lopettaa palveluntarjoajani syyttäminen?

Kun malli on "vain välitetty posti epäonnistuu", palveluntarjoaja tekee työnsä oikein — protokolla on ongelma. Näin sen saa selville: avaa puuttuvan viestin otsikot ja etsi Authentication-Results-rivi. Jos näet spf=fail -merkinnän yhdessä lähettävän IP-osoitteen kanssa, joka kuuluu välittäjälle enkä alkuperäiselle lähettäjälle, SPF tarkistaa väärää väliasemaa. Jos dkim=fail näkyy postissa, joka meni listalle tai välityspalvelimelle, joka muokkaa viestejä, kyseessä on särkynyt allekirjoitus, ei väärentäminen.

Epämiellyttävä totuus on se, että sähköpostin todentaminen naulattiin kerros kerrokselta kahden vuosikymmenen kuluessa järjestelmään, joka ei koskaan olettanut, että kukaan valehtelee. SPF tuli vuonna 2006, DKIM vuonna 2007, DMARC vuonna 2015, ARC vuonna 2019 — jokainen paikkasi reiän, jonka edellinen avasi. Välitys on saumakohdalla, jossa kaikki neljä hierovat toisiaan vasten, ja inboxisi on paikka, jossa tunnet kitkan.

@@END@@