У нас есть сайт рекламных объявлений. Покупатели могут связаться с продавцами. Сообщение создается непосредственно на сайте (php7) и отправляется пользователю по электронной почте.
Если мы будем следовать рекомендации из openspf у нас есть два решения:
Решение 1
Return-path: service@my-classified-ads-website.com
Sender: service@my-classified-ads-website.com
From: buyer@hotmail.com
Subject: I am interessted
To: seller@gmail.com
Решение 2
Return-Path: service@my-classified-ads-website.com
From: service@my-classified-ads-website.com
Reply-To: buyer@hotmail.com
Subject: I am interessted
To: seller@gmail.com
Они нормально работают с spf, но:
Решение 1 просто отклоняется доменами, имеющими строгую политику DMARC (p=reject), например yahoo.com:
v=DMARC1; p=reject; pct=100; rua=mailto:dmarc_y_rua@yahoo.com;
Решение 2 работает все меньше и меньше. При ответе многие мобильные телефоны (китайские бренды) и почтовые клиенты не учитывают Reply-To но только From. Кроме того, например, Gmail отображает огромное предупреждающее сообщение, которое пугает пользователей.
Be careful with this message
This email claims to come from my-classified-ads-website.com, but replies will go
to an email address at another domain. Avoid replying to this email
unless you reach out to the sender by other means to ensure that
this email address is legitimate.
Есть решение?
(Мы бы хотели избежать решения вроде Craigslist или обязывания пользователей использовать внутреннее решение для сообщений a-la-facebook).
Вы хотите обмануть и взломать системы аутентификации электронной почты, пытаясь отправлять электронные письма от имени других. Возможно, этот взлом может работать временно, но в будущем он будет запрещен поставщиками почтовых ящиков, поскольку фишинговые атаки требуют применения все более строгих политик, которые провайдеры почтовых ящиков должны применять.
Вот решение, которое я предлагаю, чтобы избежать таких взломов. Создайте уникальный адрес электронной почты для каждой пары контактов и сделайте его «посредником» для разговоров между сторонами.
Как это устроено
Вся переписка по электронной почте должна осуществляться через созданную вами электронную почту. Вы можете установить собственные отображаемые имена (например, John <123@my-classified-ads-website.com), чтобы не путать получателей электронной почты с вашими странными уникальными идентификаторами. Так когда A нужно написать на B, он фактически пишет на вашу электронную почту, затем вы пересылаете письмо на B, и наоборот для B к A.
Эта реализация имеет некоторую сложность, но в будущем она будет оплачена.
Как уже говорилось, вариант 1, конечно, не рекомендуется. DMARC приведет к отклонению этих писем.
Вариант 2 может работать правильно. Мы бы посоветовали вам добавить к этим письмам DKIM-подпись, чтобы повысить надежность и создать репутацию вашего домена d =. Это может заставить Google предотвратить «большое предупреждение», если они будут «достаточно» доверять вашему домену.
Однако .... Вы хотите отправлять почту от имени ваших клиентов. Поэтому третий вариант может заключаться в том, чтобы убедиться, что ваши клиенты позволяют вам это делать. Это может означать, что они позволят вам пройти через свою запись SPF, но (желательно) вы также захотите подписать эти письма специальной (для каждого клиента) подписью DKIM.
Это приведет к этим заголовкам:
From: buyer@hotmail.com
Subject: I am interessted
To: seller@gmail.com
Помогает ли это вам и дает ли это решение?
С Уважением,
Михиэль
Анализатор DMARC