¿Por qué es una mala idea usar un correo electrónico del cliente como la dirección de origen?

Tengo una aplicación que envía correos electrónicos a los usuarios una vez que han completado un formulario. Utiliza a [email protected]como una dirección de origen. El cliente quiere que use el correo electrónico del formulario como la dirección de origen, que podría ser cualquier cosa. Me han dicho que esta es una mala idea debido a la suplantación de identidad / listas negras y el correo no deseado.

Me siento muy impreciso sobre la razón exacta de por qué esta es una mala idea, especialmente porque tengo que tratar de aconsejar al cliente que se salga de esto. ¿Alguien puede explicarme por qué es una mala idea?

Curiosamente, el cliente ha utilizado una cuenta de gmail como la dirección de origen como una demostración que no solo funciona bien, sino que ha permitido que la aplicación comience a enviar correos electrónicos (no lo haría antes con un correo electrónico que era [email protected]). Erm, ¿qué está pasando? Me dicen una cosa y lo contrario funciona.

Lo siento, sé que esto es básico, pero podría encontrar cualquier cosa en una búsqueda en Google. En gran parte pienso porque estoy teniendo problemas incluso para formular la pregunta.

EDITAR

Gracias a todos, excelentes respuestas. Curiosamente, el servidor que envía el correo electrónico y el buzón de correo que va a estar detrás del mismo firewall, por lo que el cliente dice que no le preocupa el spam. Oh bien.

Es una mala práctica por varias razones:

• NO se le permite enviar un correo desde un dominio que no es de su propiedad. Como tal, podría concebirse como un intento de suplantación.
• Es una práctica bastante común utilizada por los spammers y, como tal, con frecuencia se etiqueta con filtros de spam.
• Es bastante común que los dominios bien mantenidos usen SPF o DKIM para proteger su reputación y ayudar a otros sistemas a identificar la suplantación de identidad y el correo no deseado. Obviamente, no podrá agregar el encabezado de correo DKIM o agregar su servidor SMTP en el registro DNS SPF del dominio, por lo que su correo se considerará (correctamente) como falsificado y rechazado.

La práctica adecuada es utilizar su dominio local como remitente, posiblemente utilizando una dirección no existente como nombre de usuario.

En realidad, puede configurar la Fromdirección del correo electrónico de su cliente, siempre que configure correctamente el Sendercampo en su propia dirección. Esto es lo que PayPal no solía hacer!

DE: [email protected]
PARA: [email protected]
ENVIADOR: [email protected]

La mayoría de los clientes de correo electrónico mostrarán esto como "De [email protected] en nombre de [email protected]" . No debería haber ningún problema con SPF o DKIM en el dominio del cliente.

Probablemente también debería establecer el Reply-toencabezado a la dirección de su cliente, por lo que las respuestas van a la dirección del cliente en lugar de la suya.

TL; DR:

Es una mala práctica usar la dirección de correo electrónico del formulario. En su lugar, use una dirección de correo electrónico que se use específicamente para esta lista de correo solamente.

Versión larga:

Primero, en realidad se usan dos direcciones de correo electrónico. Uno es el remitente del sobre, el otro es el que se muestra en la línea From:en el correo electrónico.

El remitente del sobre es el que usan los servidores de correo electrónico para emitir avisos de no entrega. Si está ejecutando una lista de correo, esa dirección generalmente será un script que puede borrar las direcciones que no funcionan de la lista de correo.

La From:dirección es la que se utilizará cuando el destinatario del correo haga clic en Responder. En este caso, debe apuntar a alguien que realmente pueda responder cualquier pregunta que el destinatario pueda responder (o al menos reenviar a alguien que pueda).

Si utiliza la propia dirección de correo electrónico del destinatario como remitente del sobre, puede esperar que algunos / muchos servidores de correo rechacen el correo o lo etiqueten como probable correo no deseado, porque las personas no suelen enviarse correos desde su propia dirección a través de un servidor externo

Si utiliza la propia dirección de correo electrónico del destinatario como el From:remitente, el usuario no podrá responder a los mensajes si fuera necesario. Poner un enlace en algún lugar del cuerpo del mensaje de correo no es suficiente; las personas seguirán usando el botón Responder en su cliente de correo electrónico y se molestarán cuando no funcione.

Tienes algunas excelentes respuestas hablando de los problemas técnicos aquí. En términos de vender esto a su cliente, puede ser útil reformular ligeramente la pregunta. El cliente probablemente le esté pidiendo una variación de "funcionará", a lo que la respuesta es "sí, puede enviar un correo electrónico así".

Una mejor pregunta para que consideren es "llegará", "lo verán nuestros clientes si se envía de esa manera". La respuesta con la mayoría de los filtros de spam modernos es "no, probablemente no".

Hay dos problemas en los que puedo pensar, el mayor problema es que enviará un correo electrónico que posiblemente no se pueda entregar, y obviamente la dirección de retorno también lo será, lo que significará una gran cantidad de correos electrónicos en espera y tiempo de espera . El problema más pequeño podría ser que algunos de esos correos electrónicos terminan en spam, ya que los servidores buscan correo electrónico de ciertos dominios que provienen de ciertas máquinas (según las reglas de DKIM).

Crearía la [email protected]dirección y decidiría qué hacer con el correo electrónico más tarde.

La suplantación de la propia dirección del usuario como De: es una mala idea. Es una buena manera de garantizar que el correo nunca llegue al usuario, ya que los filtros antispam pueden considerarlo una falsificación (¡lo cual es de facto !)

Es bastante razonable y común para el servidor SMTP que "thisdomain" rechace una solicitud de "MAIL From: user @ thisdomain" que proviene de una conexión TCP que está fuera de "thisdomain". (Permitir tal solicitud de los hosts locales permite que el usuario dentro de la red "thisdomain" se envíe por correo).

En realidad, [email protected]es una mala idea también:

Aquí hay un fragmento de configuración de mi servidor SMTP (software Exim), que lo configura para que devuelva los mensajes de los noreplyremitentes:

deny
  message = Sorry, we do not accept SMTP traffic from "noreply" senders. \
            We believe that it is less than polite to send messages from \
            nonexistent e-mail addresses \
            which cannot be replied to! E-mail is a "two-way street". \
            If you want us to accept \
            your mail, then please accept replies.
  senders = ^noreply@.*

Los correos electrónicos solo deben ser enviados por remitentes reales que puedan aceptar respuestas.

¿Por qué debería escuchar todo lo que dices si tus oídos están tapados contra algo que digo?

Algunas personas responderán a estos correos electrónicos de todos modos y deben ser enrutados a la cuenta de atención al cliente adecuada.

El cliente puede no estar preocupado por el correo no deseado, pero el problema principal aquí es que es éticamente incorrecto usar el dominio del cliente, como se menciona en todas las otras respuestas aquí.