nagłówki Authentication-Results

Authentication-Results to nagłówek zawierający wynik weryfikacji SPF, DKIM i DMARC przeprowadzonej przez serwer odbiorcy.

Rola nagłówka Authentication-Results w wiadomości e-mail

Authentication-Results to nagłówek dodawany przez serwer lub bramę pocztową, która sprawdza autentyczność wiadomości przychodzącej. Zawiera opis wyników mechanizmów uwierzytelniania poczty, najczęściej SPF, DKIM i DMARC. Dzięki temu kolejny element infrastruktury pocztowej, filtr antyspamowy albo program analizujący wiadomość może odczytać, czy domena nadawcy była zgodna z zasadami opublikowanymi w DNS oraz czy treść wiadomości zachowała integralność potwierdzoną podpisem kryptograficznym.

Standard składni tego pola opisuje RFC 8601. Nagłówek rozpoczyna się od identyfikatora systemu, który przeprowadził sprawdzenie, na przykład nazwy serwera odbiorcy. Dalej pojawiają się pary określające metodę i wynik, takie jak spf=pass, dkim=pass albo dmarc=fail. Mogą wystąpić także dodatkowe właściwości, między innymi adres IP użyty przy sprawdzeniu SPF, domena podpisująca wiadomość DKIM lub domena oceniana przez DMARC.

Jak czytać wyniki SPF, DKIM i DMARC

Wynik SPF dotyczy serwera, który nawiązał połączenie z serwerem odbiorcy. Serwer odbiorcy porównuje adres IP nadawcy z rekordem TXT domeny użytej w mechanizmie SMTP MAIL FROM, określanej jako domena koperty nadawcy. Wartość spf=pass oznacza, że badany adres IP znajduje się w dozwolonym zakresie opisanym przez rekord SPF. spf=fail wskazuje na jednoznaczne odrzucenie zgodności, natomiast softfail, neutral, none i temperror oznaczają odpowiednio słabszą ocenę, brak deklaracji, brak użytecznego wyniku albo przejściowy problem techniczny. SPF nie potwierdza jednak, że treść wiadomości nie została zmieniona po drodze.

DKIM sprawdza podpis kryptograficzny zapisany w nagłówku DKIM-Signature. Serwer pobiera klucz publiczny z rekordu DNS domeny wskazanej przez parametr d=, a następnie weryfikuje podpis wybranych nagłówków i treści. dkim=pass oznacza poprawną weryfikację podpisu dla konkretnego selektora i domeny. Wynik fail może oznaczać błędny podpis, zmianę objętych nim danych albo niedopasowanie klucza. DKIM nie wskazuje samodzielnie, czy wiadomość jest pożądana; potwierdza określone powiązanie wiadomości z domeną podpisującą.

DMARC łączy ocenę SPF i DKIM z tak zwaną zgodnością domen, czyli alignment. Serwer sprawdza domenę widoczną w polu From: i porównuje ją z domeną używaną przez SPF oraz z domeną d= w podpisie DKIM. Wynik dmarc=pass wymaga spełnienia reguł DMARC przez co najmniej jeden właściwie dopasowany mechanizm. Samo spf=pass albo dkim=pass nie gwarantuje więc pozytywnego wyniku DMARC, jeżeli potwierdzona domena nie odpowiada domenie prezentowanej odbiorcy w polu From:.

Granice wiarygodności i interpretacja dodatkowych parametrów

Authentication-Results nie jest dowodem wystawionym przez nadawcę wiadomości. Jest lokalnym zapisem oceny wykonanej przez konkretny system odbiorczy. Z tego powodu trzeba ustalić, czy analizowany nagłówek został dodany przez zaufany serwer pocztowy, czy pochodzi z wcześniejszego etapu transportu. Wiadomość może zawierać kilka pól Authentication-Results dodanych przez różne systemy. Każdy serwer powinien traktować jako wiarygodne przede wszystkim wyniki pochodzące z własnej domeny administracyjnej albo z jasno zaufanego pośrednika.

Nie należy usuwać nagłówka tylko dlatego, że zawiera wynik fail. Taki wynik może wskazywać na rzeczywistą próbę podszycia się pod domenę, ale może też wynikać z przekierowania, błędnej konfiguracji SPF, uszkodzonego podpisu DKIM albo modyfikacji wiadomości przez pośredni system. Warto przeanalizować również pola header.from, smtp.mailfrom i header.d. Pierwsze wskazuje domenę widoczną dla odbiorcy, drugie domenę koperty używaną podczas dostarczania, a trzecie domenę podpisu DKIM. Różnice między nimi często wyjaśniają, dlaczego SPF lub DKIM zakończył się powodzeniem, ale DMARC otrzymał wynik negatywny.

Przykładowy fragment Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=nadawca.example; dkim=pass header.d=nadawca.example; dmarc=pass header.from=nadawca.example oznacza, że wskazany system uznał za poprawne wszystkie trzy kontrole. Nie oznacza to automatycznie, że wiadomość jest bezpieczna, prawdziwa albo wolna od złośliwych załączników. Uwierzytelnienie domeny i integralności podpisanych elementów jest tylko jednym z sygnałów wykorzystywanych przez filtr pocztowy. Ocena może uwzględniać także reputację adresu IP, treść, załączniki, historię korespondencji i inne nagłówki transportowe.

Analiza nagłówka na komputerze użytkownika

Pełny nagłówek wiadomości można wyświetlić w większości programów pocztowych po użyciu funkcji określanej jako „pokaż źródło”, „pokaż oryginał” albo „wyświetl pełne nagłówki”. Podczas analizy należy zachować kolejność pól oraz sprawdzić, który serwer dodał konkretny wpis. Warto porównać Authentication-Results z polami Received:, From:, Return-Path:, DKIM-Signature: i ewentualnie ARC-Authentication-Results:. Szczególnie ważne jest rozróżnienie wyniku wystawionego przez własnego operatora poczty od podobnie nazwanej wartości dołączonej wcześniej przez obcy system.

Jeżeli program pocztowy pokazuje niepełne nagłówki, nieprawidłowo interpretuje wynik albo nie pozwala otworzyć źródła wiadomości, przyczyną może być konfiguracja klienta, filtr lokalny, uszkodzony profil programu, rozszerzenie bezpieczeństwa lub problem z synchronizacją skrzynki. Diagnostyka powinna obejmować porównanie tej samej wiadomości w webmailu i w używanym programie pocztowym, sprawdzenie, czy nagłówki nie są obcinane podczas eksportu oraz weryfikację, czy problem dotyczy jednej wiadomości, jednej skrzynki, czy całej aplikacji. Sama obecność wartości pass lub fail nie jest podstawą do zmiany ustawień DNS ani do usuwania filtrów antyspamowych.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, w tym diagnostykę problemów z lokalnym oprogramowaniem pocztowym oraz odczytem technicznych nagłówków wiadomości.