NEXUS Email Auth & Spoof Lab

Resumo técnico

O NEXUS Email Auth & Spoof Lab audita a autenticação de e-mail de domínios (SPF, DKIM, DMARC e BIMI) com pontuação A+ a F e diagnóstico de fraquezas segundo as RFCs 7208, 6376 e 7489. O laboratório de spoofing simula eticamente a decisão dos servidores receptores, gerando headers antes/depois como evidência sem enviar mensagens reais, com histórico de auditorias e integração via slash /emailauth.

Escopo executado

• Registro do plugin em plugin.php: registerTab('email-auth-audit', tab.php) com ícone shield (categoria Segurança), registerDoc('email-auth-audit', doc.md) e 10 ações de API via registerApiAction (prefixo eaa_).
• Banco de dados: tabelas MySQL eaa_history (domain, score, spf_status, dkim_status, dmarc_status, dmarc_policy, bimi_status, details LONGTEXT, created_at, com índices idx_domain/idx_score/idx_created_at) e eaa_domains (portfólio de monitoramento: domain UNIQUE, last_score, auto_check, last_audit_at) — criadas com CREATE TABLE IF NOT EXISTS em eaa_install(); sem install.sql.
• Configuração centralizada em eaa_settings (via DB::getConfig): dns_resolver (native/cloudflare_doh/google_doh), custom_selectors (lista de seletores DKIM) e auto_notify_alerts.
• Consulta DNS (eaa_dns_query): resolver nativo dns_get_record (TXT/MX/CNAME) com fallback automático DNS-over-HTTPS (Cloudflare cloudflare-dns.com/dns-query ou Google dns.google/resolve) e cache de resultados.
• Auditoria SPF (RFC 7208): validação v=spf1, análise de qualificadores (-all, ~all, ?all, +all), contagem de DNS lookups (limite máximo de 10) e detecção de múltiplos registros conflitantes.
• Auditoria DMARC (RFC 7489): extração das tags p=, sp=, pct=, rua=, ruf=, aspf=, adkim= e detecção de múltiplos registros DMARC — falha crítica que anula a proteção perante os receptores (RFC 7489 §6.6.3).
• Auditoria DKIM (RFC 6376): varredura de seletores comuns (default, google, k1, s1, mail, selector1, s2048, dkim, sendgrid, mandrill) + seletores customizados, com análise de chave pública RSA/Ed25519.
• Auditoria BIMI & MX: validação de registros v=BIMI1 e existência de MX.
• Score de autenticação A+ a F: matriz derivada de SPF/DMARC/DKIM/BIMI e das fraquezas detectadas, com recomendações por achado.
• Laboratório de spoofing (eaa_simulate_spoof): simulação determinística da decisão do receptor (Google Workspace, Microsoft 365) com cenários DELIVERED_INBOX (vulnerável), REJECTED_SMTP (protegido, p=reject), DELIVERED_SPAM (quarentena, p=quarantine) e RFC_VIOLATION (múltiplos DMARC) — gerando headers de evidência antes/depois (Authentication-Results, Received-SPF, DKIM-Signature, Return-Path) sem enviar mensagens reais, com IP de ataque padrão 203.0.113.45 (TEST-NET).
• Diagnóstico de alinhamento: explicação didática do alinhamento estrito (*strict*) vs flexível (*relaxed*) entre o Envelope Sender (RFC 5321) e o Header From (RFC 5322).
• Histórico e portfólio: eaa_history (auditorias com limite 1–100) e eaa_domains_list/eaa_domain_save/eaa_domain_delete (domínios monitorados com last_score).
• Fast Responses: manifesto fastr.json com /emailauth <dominio> (auditoria instantânea com score, SPF, DMARC e DKIM) e eaa_fastr_suggest.
• Intel Hub: nx_intel_register_enricher('email-auth-audit', ['domain'], 'eaa_intel_enrich', 43) — expõe score, política DMARC e status SPF do último audit do domínio.
• Interface (tab.php, 689 linhas): 4 abas — Auditoria (card de Score A+ a F com cores semânticas + cards SPF/DMARC/DKIM/BIMI com RFCs), Lab (simulação com headers antes/depois), Alinhamento (didático) e Histórico (evolução de scores).

Stack e ferramentas

• PHP 8 backend (sem framework) + MySQL (eaa_history, eaa_domains)
• Consultas DNS nativas (dns_get_record) + fallback DNS-over-HTTPS (Cloudflare/Google)
• Alpine.js + Tailwind CSS (4 abas, score card, cards de status e visualização de headers)
• Plugin API interno: PluginManager tabs/docs/actions + fastr.json + intel enricher
• Autenticação via Bearer token da API NEXUS nas chamadas de API

Tags operacionais

• E-mail
• SPF
• DKIM
• DMARC
• BIMI
• Spoofing
• Segurança
• DNS
• Auditoria
• Plugin NEXUS

Resultado operacional

• Score claro e acionável: classificação A+ a F com fraquezas referenciadas pelas RFCs e recomendações práticas.
• Simulação ética: prova o impacto da correção (ex.: p=none → p=reject) sem enviar e-mails reais.
• Evidência forense: headers Authentication-Results, Received-SPF, DKIM-Signature e Return-Path antes/depois prontos para relatórios.
• Portfólio de monitoramento: domínios acompanhados com último score e auditoria sob demanda.
• Histórico de evolução: acompanhamento de scores ao longo do tempo por domínio.
• Acesso rápido: slash /emailauth <dominio> direto no terminal Fastr.