Por que as mensagens do meu domínio para um grupo do Google não reescrevem seus cabeçalhos para que o DMARC seja aprovado?

4

Sempre que meu domínio envia uma mensagem para um grupo do Google em outro domínio, o alinhamento do DMARC falha. Isto aplica-se a todos os meus remetentes aprovados, mesmo utilizando o Gmail no meu domínio. Parece ser porque o cabeçalho Return-Path (Envelope From) é substituído pelo endereço de retorno do grupo de recebimento, mas o cabeçalho From permanece como meu domínio, o que é incorreto.

Por exemplo, eu envio e-mails do Gmail no meu domínio, [email protected], para um grupo em seu domínio, [email protected]. Se você observar os cabeçalhos da mensagem recebida, verá:

BAD

Return-Path: <[email protected]>
Authentication-Results: mx.google.com;
   dkim=pass [email protected];
   spf=pass (google.com: domain of [email protected] designates 2607:f8b0:400d:c04::246 as permitted sender)
smtp.mailfrom=your-group+bncBCA5XFGRYQLCBEHHVS5AKGQED3J2I7I@yourdomain.com;
   dmarc=fail (p=NONE dis=NONE) header.from=mydomain.com
From: Chris <[email protected]>

X-Original-Sender: [email protected]
X-Original-Authentication-Results: mx.google.com;       dkim=pass
 [email protected];       spf=pass (google.com: domain of [email protected]
 designates 2607:f8b0:400c:c05::233 as permitted sender)
[email protected];
       dmarc=pass (p=NONE dis=NONE) header.from=mydomain.com

O DMARC falha devido a um mau alinhamento entre o domínio De (mydomain) e os domínios DKIM e SPF (yourdomain). No entanto, quando você, um usuário GApps configurado adequadamente, envia e-mails do Gmail para um grupo em mydomain, os cabeçalhos são diferentes.

BOM

Return-Path: <[email protected]>
Authentication-Results: mx.google.com;
       dkim=pass [email protected];
       spf=pass (google.com: domain of [email protected] designates 2607:f8b0:4001:c0b::247 as permitted sender) smtp.mailfrom=my-group+bncBCGJ3NF22YBRBTXIVS1RKGQEIWR5E6Q@mydomain.com;
   dmarc=pass (p=NONE dis=NONE) header.from=mydomain.com
From: "'You' via my-group" <my-group@ mydomain.com>

Observe a forma diferente do cabeçalho De - o remetente original foi substituído pelo meu próprio grupo. Há também um par de cabeçalhos X-Original como acima, que têm a mesma forma (apenas invertida), então eu não os estou colando.

Então, a questão é: como configuro meu domínio, gapps, dns, mx ou o que for, para que os Grupos do Google que recebem minhas mensagens substituam corretamente o cabeçalho De por "via [email protected]?"

O correio do meu domínio para usuários em outros domínios funciona bem - o DMARC é aprovado porque o SPF e o DKIM são bons e o Return-Path ainda diz @meudomínio. Eu li artigos sobre porque o "via you-group" é necessário - estou bem com isso. Estou tentando entender por que minhas mensagens para grupos não são tratadas dessa maneira.

Parece ser semelhante a: Como evitar que e-mails do meu domínio sejam rejeitados por meio de listas de discussão devido ao DMARC Diferente porque os grupos do Google são definitivamente compatíveis com o DMARC - outras pessoas não têm esse problema.

Atualização: Eu encontrei este artigo que diz que o google groups apenas reescreve o remetente quando a política do DMARC é rigorosa (p = rejeitar). Isso parece uma idéia terrível, já que todo o ponto de começar com p = none é ganhar a confiança de que seu e-mail será entregue quando você subir a política, mas se for verdade, isso pode explicar meu problema. Alguém pode confirmar? link

    
por lordbyron 30.05.2016 / 01:47

1 resposta

4

Eu finalmente recebi essa resposta do Google. Fiquei feliz em encontrar alguém que entendeu o problema, mas infelizmente parece que o Google está aderindo ao tratamento incorreto da diretiva DMARC.

Google Groups will only rewrite the From: header when the DMARC policy of the original sender (you in this case) is set to reject or quarantine.

With DMARC/p=none, DKIM isn't rewritten when sending to a group, but because DMARC is set to "none", it doesn't matter that the group will break DKIM from the point of view of delivery and spam detection - it will still get delivered properly. Unfortunately, it does make it look confusing if you're monitoring your deployment.

In order to see the correct behavior you can switch to p=quarantine and monitor the delivery. Please tell me if there is anything else I can assist you with, I'll be glad to follow up.

    
por 06.06.2016 / 22:27