read receipts
O Cadeado em Que Todos Se Gabam Está Pendurado Numa Porta Aberta
Seu banco tem DMARC. Sua companhia aérea também. Está fazendo praticamente nada, e a configuração que prova isso tem uma palavra de comprimento.
Aproximadamente nove em cada dez domínios que publicam um registro DMARC o têm configurado como p=none — o modo que diz ao mundo exatamente quem está falsificando você e depois os deixa passar. A análise da Red Sift da última década coloca a aplicação real do DMARC em um dígito por ano, e mesmo os números otimistas dos fornecedores ainda deixam a maioria dos registros em none.
Aqui está a piada escondida nessa palavra. DMARC — especificado na RFC 7489 — é a coisa que decide o que um servidor de correio receptor deve fazer quando uma mensagem que se diz ser do seu domínio falha nas verificações subjacentes. Essas verificações são SPF (este servidor está autorizado a enviar por você?) e DKIM (esta mensagem está criptograficamente assinada por você?). DMARC fica por cima e emite um veredicto. p=none é o veredicto que não é um. Ele diz: note a fraude, registre a fraude, envie-me um relatório sobre a fraude — e entregue de qualquer jeito.
Um detector de fumaça com a bateria removida ainda está pendurado no teto. Parece proteção. Fotografa como proteção. Só não toca a sirene quando a cozinha está em chamas.
As duas configurações que realmente funcionam são p=quarantine, que coloca o correio que falha na spam, e p=reject, que diz ao receptor para devolvê-lo antes de chegar. Esse é o jogo todo. Um criminoso falsificando billing@yourbank.example se depara com uma parede só se aquele banco publicou reject. Se o banco publicou none — e a maioria publicou — a falsificação entra na caixa de entrada parecendo exatamente com o original, completa com o logo real tirado direto do site real.
Por que todos ficam parados em none? Porque none é o primeiro passo seguro, e primeiros passos seguros têm o hábito de se tornarem o endereço permanente. Você é suposto começar ali, ler os relatórios, encontrar cada serviço legítimo enviando em seu nome — o fornecedor de folha de pagamento, a plataforma de marketing, a ferramenta de ticketing que ninguém documentou — fazer com que todos assinem corretamente, e aí apertar para reject. Esse último movimento é o assustador. Mude para reject com um remetente não autenticado ainda solto por aí e você descarta seus próprios invoices. Então os times publicam o registro, dizem ao auditor que está resolvido, e nunca voltam para terminar. Os emails de relatório se acumulam não lidos. A bateria continua fora.
A vítima é você, a pessoa lendo a mensagem. Quando uma marca em que você confia deixa DMARC em none, "veio do domínio real deles" deixa de significar qualquer coisa, porque a falsificação de um criminoso passa no mesmo teste visual. Essa é precisamente a lacuna que observamos no lado receptor na xmail: uma mensagem pode falhar autenticação completamente e ainda chegar disfarçada como sua companhia de utilidades, porque a companhia de utilidades nunca disse à internet para rejeitar os fakes.
Então aqui está um teste que você pode rodar em cerca de quinze segundos. Pegue qualquer marca que o assustou com um email de "atividade suspeita" — abra uma busca pública de DMARC e cole o domínio deles. Se a política lê p=none, aquela empresa está pedindo aos receptores para notar falsificação e não fazer nada sobre isso. Milhões de domínios estão fazendo esse pedido silenciosamente todo dia.
O conserto não é mais tecnologia. É a coragem de mudar uma palavra de none para reject. O alarme já vê a fumaça. Alguém só tem que colocar a bateria de volta.