Sono in una squadra che costruisce un'applicazione SAAS. Parte dell'applicazione invierà promemoria programmati ai clienti dei nostri clienti. La descrizione del progetto sta chiedendo la possibilità per la nostra app di inviare quelle email di promemoria utilizzando un indirizzo email di scelta del cliente, preferibilmente il proprio dominio, essenzialmente spoofing l'indirizzo email "Da".
Our customers would be businesses using our service to send out reminders "on their behalf" to their companies clients. The expectation is that they would want their clients to think they were sending out the reminders themselves, and not "farming out" the responsibility to a third party. So they would likely want our service to be as invisible as possible. This is in fact how reply.io, grade.us and several others work. They ask you to fill out details and include what email address you want the email to appear as coming from.
Mi sono immediatamente opposto a questa idea essendo stato responsabile di un software di mailing list e affrontato i fallout nel 2014 con Yahoo e la loro politica in materia di DMARC.
Ma mi è stato fatto notare che molti altri servizi, come ad esempio reply.io, lo fanno con i loro clienti. Così ho testato i promemoria e-mail che hanno inviato e scoperto che passano DKIM ma Softfail su SPF e Fail su DMARC. Tuttavia, le e-mail che inviano sembrano ancora passare bene, dopo aver testato l'invio a Gmail, AOl, & Yahoo. Questi servizi menzionano che non dovresti utilizzare un "indirizzo email gratuito come Gmail, Yahoo, ecc." Come email "Da" perché ciò causerebbe il rifiuto delle email.
Ovviamente hanno tutti il tipico messaggio ...
...google.com does not designate 2607:f8b0:400e:c00::233 as permitted sender
Ma hanno anche per SPF
...the domain somedomain.com reports 74.125.83.42 should not be sending mail
using it's domain name, but is not forbidden from doing so
Quindi avendo trattato recentemente un problema di riconfigurazione su un server in cui la ricerca DNS inversa SMTP stava fallendo insieme a DMARC e SPF e questo stava causando il rifiuto immediato delle e-mail da AOL e Yahoo, non sono completamente chiaro su come i servizi possono ricevere la posta in modo affidabile.
Il malfunzionamento di SPF e DMARC non è così grave? Mi sento di scegliere di mettere su e-mail spoof in questo modo avrà altre conseguenze in futuro.
Alcuni servizi, come reviewtrackers.com, stanno usando sendgrid che lavora duro sull'affidabilità, sembrano evitare questa pratica. Le email da loro arrivano come MY Name <[email protected]> via sendgrid.info e l'email mostra come inviata da email.reviewtrackers.com e firmata da sendgrid.info
Quest'ultimo metodo mi sembrerebbe più trasparente e affidabile, ma un regista nel nostro progetto pensa che potrebbe far sì che l'email non appaia come personale o ignorata perché alcuni potrebbero notare che proviene da una terza parte.
Principalmente voglio davvero sapere se le email di spoofing e semplicemente ignorare il fatto che la DMARC fallirà è considerata una pratica legittima e come potrebbe tornare a perseguitarci.