RFC 5965 definiuje format ARF, wykorzystywany przez serwery do zgłaszania nadużyć związanych z wiadomością.
ARF w strukturze MIME raportu o nadużyciu
RFC 5965 opisuje Abuse Reporting Format, czyli ustandaryzowany sposób przekazywania raportów o nadużyciach związanych z pocztą elektroniczną. Raport ARF jest wiadomością MIME typu multipart/report z parametrem report-type=feedback-report. Taka konstrukcja pozwala połączyć informacje techniczne przeznaczone dla systemów automatycznych z czytelnym opisem dla administratora lub operatora usługi pocztowej. Format nie służy do przesyłania samej wiadomości jako zwykłej korespondencji, lecz do opisania zdarzenia, na przykład zgłoszenia spamu, phishingu albo innego naruszenia zasad użycia poczty.
W typowym raporcie znajdują się trzy części MIME. Pierwsza jest częścią opisową, zwykle text/plain, przeznaczoną do odczytu przez człowieka. Druga zawiera właściwe pola raportu jako treść typu message/feedback-report. Trzecia jest opcjonalna i może zawierać oryginalną wiadomość albo wybrane nagłówki oryginalnej wiadomości, najczęściej jako message/rfc822 lub text/rfc822-headers. Odbiorca raportu nie powinien zakładać, że część z oryginalną wiadomością zawsze występuje, ponieważ operator raportujący może ograniczyć zakres przekazywanych danych.
Pola feedback-report i ich znaczenie
Najważniejsze dane techniczne znajdują się w drugiej części raportu. Pole Feedback-Type jest wymagane i określa rodzaj zgłoszenia. RFC 5965 definiuje między innymi wartości abuse, fraud, virus oraz other. Pole User-Agent identyfikuje oprogramowanie generujące raport, a Version wskazuje wersję używanego formatu raportu. Wymagane są również pola Original-Mail-From i Original-Rcpt-To, które opisują odpowiednio adres nadawcy oraz odbiorcy z pierwotnej wiadomości, o ile takie informacje są dostępne.
Raport może zawierać dodatkowe pola ułatwiające analizę źródła i czasu zdarzenia. Arrival-Date wskazuje moment przyjęcia pierwotnej wiadomości przez system raportujący, natomiast Reporting-MTA identyfikuje system pocztowy tworzący raport. Source-IP może zawierać adres IP urządzenia lub serwera, z którego według raportującego pochodziła wiadomość. Pole Authentication-Results pozwala przekazać wyniki kontroli uwierzytelniania, takich jak SPF, DKIM lub inne mechanizmy rozpoznawane przez system pocztowy. Jeżeli raport zawiera pola nieprzewidziane w podstawowej specyfikacji, ich nazwy powinny zaczynać się od prefiksu X-, aby rozszerzenia nie kolidowały z polami zdefiniowanymi w RFC 5965.
Przetwarzanie raportu przez system pocztowy
System odbierający ARF powinien najpierw potraktować wiadomość jako dokument MIME, a nie jako zwykły tekst do wyszukania pojedynczego słowa. Należy sprawdzić nagłówek Content-Type, granice poszczególnych części oraz typ drugiej części raportu. Dopiero po poprawnym rozdzieleniu elementów można odczytać pola takie jak Feedback-Type, Source-IP czy Arrival-Date. Kolejność pól w części message/feedback-report nie powinna być podstawą logiki programu, ponieważ pola MIME są interpretowane jako nazwy i wartości, a nie jako rekord o stałej pozycji kolumn.
ARF przekazuje opis zgłoszonego zdarzenia, ale sam w sobie nie rozstrzyga, czy nadawca pierwotnej wiadomości rzeczywiście naruszył zasady. Adres IP, adres nadawcy widoczny w kopercie SMTP oraz wartości nagłówka From mogą oznaczać różne elementy przepływu poczty. Z tego powodu automatyczne reguły nie powinny bezwarunkowo blokować wszystkich danych wskazanych w raporcie. Poprawna analiza porównuje zawartość raportu z logami SMTP, wynikami uwierzytelniania i informacjami o czasie przyjęcia wiadomości. Trzeba także uwzględnić, że dołączona część z oryginalną wiadomością może zawierać treść aktywną lub dane, których nie należy bezpośrednio otwierać w kliencie pocztowym.
ARF podczas diagnozowania problemów z pocztą
Gdy raporty ARF nie są prawidłowo obsługiwane, warto sprawdzić kilka konkretnych elementów przepływu. Błędy często wynikają z odrzucania całej wiadomości dlatego, że brakuje opcjonalnej trzeciej części MIME, z nieprawidłowego parsowania wielowierszowych pól albo z traktowania wartości Feedback-Type jako dowolnego, niezweryfikowanego tekstu. Należy również kontrolować kodowanie MIME, poprawność separatorów boundary oraz zgodność typu treści z deklaracją w nagłówku. Sam fakt odebrania wiadomości ARF nie oznacza jeszcze, że raport został zapisany w systemie obsługi zgłoszeń.
W środowisku użytkownika końcowego raport może pojawić się jako załącznik lub automatyczna wiadomość zwrotna po zgłoszeniu spamu. Diagnostyka komputera powinna wtedy obejmować sprawdzenie, czy klient pocztowy poprawnie wyświetla strukturę MIME, czy nie usuwa nagłówków oraz czy problem nie dotyczy wyłącznie prezentacji raportu. Jeżeli wiadomość ARF jest generowana przez lokalny program pocztowy, można porównać jej surowe źródło z wymaganymi częściami multipart/report. Przy problemach z odbiorem należy dodatkowo sprawdzić reguły filtrowania, limity rozmiaru wiadomości i logi transportu SMTP, ponieważ RFC 5965 definiuje format raportu, ale nie narzuca konkretnego mechanizmu dostarczania ani przechowywania takich zgłoszeń.
