O DANE (RFC 7672) é o padrão de referência em segurança de transporte SMTP:
- Vincula os certificados TLS diretamente ao DNS por meio de registros TLSA assinados com DNSSEC
- Elimina a vulnerabilidade TOFU do MTA-STS
- Não depende de autoridades certificadoras
- Obstáculo: O DNSSEC precisa estar ativo em toda a cadeia DNS
- DANE e MTA-STS se complementam
O SRS (Sender Rewriting Scheme) corrige a quebra do SPF durante o encaminhamento:
Original: MAIL FROM: alice@example.org
Encaminhado: MAIL FROM: SRS0=HHH=TT=example.org=alice@forwarder.com
- Sem estado (hash + timestamp para a verificação)
- Corrige só o SPF; o DKIM ainda precisa passar para o DMARC
- O Microsoft 365 usa SRS em todos os e-mails encaminhados desde agosto de 2023
Entre para acompanhar o que você já leu.