Por que é uma má idéia usar um email do cliente como o endereço de origem

Eu tenho um aplicativo que envia e-mails aos usuários depois que eles preenchem um formulário. Ele usa um no-reply@customerdomain.comendereço como de. O cliente deseja que ele use o email do formulário como o endereço de origem, que pode ser qualquer coisa. Foi-me dito que esta é uma má ideia devido a spoofing / lista negra e spam.

Sinto-me realmente vago sobre o motivo exato pelo qual essa é uma péssima idéia, principalmente porque tenho que tentar aconselhar o cliente sobre isso. Alguém pode me explicar por que essa é uma má idéia.

Curiosamente, o cliente usou uma conta do Gmail como endereço de origem como uma demonstração, que não apenas funciona bem, mas também permitiu que o aplicativo iniciasse o envio de emails (isso não ocorreria antes com um email que era no-reply@customerdomain.com). Erm - o que está acontecendo? Me disseram uma coisa e o oposto funciona.

Desculpe - eu sei que isso é básico, mas eu poderia encontrar qualquer coisa em uma pesquisa no google. Em grande parte, acho que porque estou tendo problemas até para formular a pergunta.

EDITAR

Obrigado a todos - ótimas respostas. Curiosamente, o servidor que está enviando o e-mail e a caixa de e-mail para o qual ele está hospedado está atrás do mesmo firewall, de modo que o cliente diz que não está preocupado com o spam. Ah bem.

É uma prática ruim por vários motivos:

• Você NÃO tem permissão para enviar um email de um domínio que você não possui. Como tal, poderia ser concebido como uma tentativa de representação.
• É uma prática bastante comum usada por remetentes de spam e, como tal, é frequentemente marcada por filtros de spam.
• É bastante comum que domínios bem mantidos usem SPF ou DKIM para proteger sua reputação e ajudar outros sistemas a identificar representação e spam. Obviamente, você não poderá adicionar o cabeçalho de email DKIM ou adicionar o servidor SMTP ao registro DNS do domínio SPF e, portanto, o seu email será (corretamente) considerado falsificado e rejeitado.

A prática adequada é usar o domínio local como remetente, possivelmente usando um endereço inexistente como nome de usuário.

Na verdade, você pode definir o Fromendereço para o email do seu cliente, desde que defina corretamente o Sendercampo para o seu próprio endereço. Isto é o que Paypal não costumava fazer!

FROM: customer@yourCustomer.com
PARA: destinatário@recipient.com
ENVIO: you@yourCompany.com

A maioria dos clientes de email processa isso como "De você@seuempresa.com em nome de cliente@seuCustomer.com" . Não deve haver nenhum problema com SPF ou DKIM no domínio do cliente.

Você também deve provavelmente definir o Reply-tocabeçalho para o endereço do seu cliente, para que as respostas sejam o endereço do cliente e não o seu.

TL; DR:

É uma prática ruim usar o endereço de email do formulário. Em vez disso, use um endereço de e-mail usado especificamente apenas para esta lista de endereços.

Versão longa:

Primeiro, na verdade existem dois endereços de email usados. Um é o remetente do envelope, o outro é o mostrado na From:linha do email.

O remetente do envelope é o usado pelos servidores de email para emitir avisos de falha na entrega. Se você estiver executando uma lista de endereçamento, esse endereço geralmente será um script que pode limpar endereços não úteis da lista de endereçamento.

O From:endereço é aquele que será usado quando o destinatário do e-mail clicar em Responder. Nesse caso, deve apontar para alguém que possa realmente responder a qualquer pergunta com a qual o destinatário possa responder (ou pelo menos encaminhar para alguém que possa).

Se você usar o endereço de e-mail do destinatário como remetente do envelope, poderá esperar que alguns / muitos servidores de correio rejeitem o e-mail ou o rotulem como sendo provavelmente spam - porque as pessoas não costumam enviar e-mails para si mesmos de seu próprio endereço por meio de um servidor externo.

Se você usar o próprio endereço de email do destinatário como From:remetente, o usuário não poderá responder às mensagens, se necessário. Colocar um link em algum lugar no corpo da mensagem não é suficiente; as pessoas ainda usarão o botão Responder no cliente de email e ficarão chateadas quando não funcionar.

Você tem ótimas respostas falando sobre os problemas técnicos aqui. Em termos de venda para o seu cliente, pode ser útil reformular ligeiramente a pergunta. O cliente provavelmente está solicitando uma variação de "funcionará", para a qual a resposta é "sim, você pode enviar um email assim".

Uma pergunta melhor para eles considerarem é "chegará", nossos clientes verão se for enviado dessa maneira ". A resposta com a maioria dos filtros de spam modernos é "não, provavelmente não".

Existem dois problemas em que posso pensar: o maior problema é que você estará enviando e-mails que possivelmente não podem ser entregues e, obviamente, o endereço de retorno também será assim, o que significará muitos e-mails aguardando até o tempo limite. . O problema menor pode ser que alguns desses emails acabem em spam, pois os servidores procuram emails de determinados domínios provenientes de determinadas máquinas (de acordo com as regras do DKIM).

Gostaria de criar o no-reply@customerdomain.comendereço e decidir o que fazer com o email mais tarde.

Falsificar o endereço do usuário como De: é uma má idéia. É uma boa maneira de garantir que o email nunca chegue ao usuário, pois os filtros anti-spam podem considerá-lo uma falsificação (o que de fato é!)

É bastante razoável e comum que o servidor SMTP do "thisdomain" rejeite uma solicitação "MAIL From: user @ thisdomain" que vem de uma conexão TCP que está fora do "thisdomain". (Permitir essa solicitação de hosts locais permite que o usuário dentro da rede "este domínio" envie um email para o outro.)

Na verdade, também noreply@customerdomain.comé uma péssima idéia:

Aqui está um trecho de configuração do meu servidor SMTP (software Exim), que o configura para enviar mensagens de noreplyremetentes:

deny
  message = Sorry, we do not accept SMTP traffic from "noreply" senders. \
            We believe that it is less than polite to send messages from \
            nonexistent e-mail addresses \
            which cannot be replied to! E-mail is a "two-way street". \
            If you want us to accept \
            your mail, then please accept replies.
  senders = ^noreply@.*

Os e-mails devem ser enviados apenas por remetentes reais que possam aceitar respostas.

Por que eu deveria ouvir qualquer coisa que você diz se seus ouvidos estão entupidos contra qualquer coisa que eu digo?

Algumas pessoas responderão a esses e-mails de qualquer maneira e deverão ser encaminhadas para a conta de suporte ao cliente apropriada.

O cliente pode não estar preocupado com o spam, mas o principal problema aqui é que é eticamente errado usar o domínio do cliente, conforme citado por todas as outras respostas aqui.