O SMTP permite vários endereços FROM no RFC. Isso já foi útil, por que isso existe?

O SMTP permite vários endereços FROM no corpo (não no envelope) de acordo com os RFCs.

Esse recurso já foi usado para um propósito legítimo?

É seguro descartar mensagens com vários endereços FROM?

O RFC 822, na verdade, fornece um exemplo desse uso. Exigia (Seção 4.4) que o cabeçalho Sender: estivesse presente quando foi usado.

     A.2.7.  Agent for member of a committee

             George's secretary sends out a message which was authored
        jointly by all the members of a committee.  Note that the name
        of the committee cannot be specified, since <group> names  are
        not permitted in the From field.

            From:   Jones@Host,
                    Smith@Other-Host,
                    Doe@Somewhere-Else
            Sender: Secy@SHost

A RFC 2822 , que a obsoleta, continuou a permitir explicitamente essa construção em particular (Seção 3.6.2).

from            =       "From:" mailbox-list CRLF

mailbox-list    =       (mailbox *("," mailbox)) / obs-mbox-list

No padrão atual , RFC 5322 , isso é inalterado e vários endereços ainda são explicitamente permitidos (Seção 3.6.2).

   The from field consists of the field name "From" and a comma-
   separated list of one or more mailbox specifications.  If the from
   field contains more than one mailbox specification in the mailbox-
   list, then the sender field, containing the field name "Sender" and a
   single mailbox specification, MUST appear in the message.

Isso foi útil? Sim, e ainda é, exatamente para o tipo de cenário mostrado no exemplo antigo. As mensagens com vários autores devem ter todas elas listadas no cabeçalho De:, com o Remetente: definido como a pessoa que realmente pressionou Enviar em seu programa de email.

   The originator fields indicate the mailbox(es) of the source of the
   message.  The "From:" field specifies the author(s) of the message,
   that is, the mailbox(es) of the person(s) or system(s) responsible
   for the writing of the message.  The "Sender:" field specifies the
   mailbox of the agent responsible for the actual transmission of the
   message.  For example, if a secretary were to send a message for
   another person, the mailbox of the secretary would appear in the
   "Sender:" field and the mailbox of the actual author would appear in
   the "From:" field.  If the originator of the message can be indicated
   by a single mailbox and the author and transmitter are identical, the
   "Sender:" field SHOULD NOT be used.  Otherwise, both fields SHOULD
   appear.

Na prática na Internet pública, as mensagens em que isso é feito são incomuns, embora ocorram especialmente em ambientes corporativos e acadêmicos, onde é muito mais comum uma pessoa enviar email em nome de outra ou de um grupo.

Na verdade, nunca vi spam que faça isso (e passei por todos os meus outros controles). Em geral, consideraria inseguro descartar ou aumentar a pontuação de spam dessa mensagem.

Não vi vários endereços no campo De usados ​​para fins legítimos. Os poucos casos que eu vi foram em spam e tinham várias cópias do mesmo endereço.

Não conheço nenhum software de composição de mensagens que suporte listas neste contexto. Os casos que considero adequados são relativamente poucos e, na minha experiência, são tratados de outras maneiras.

Eu adicionei uma regra de spam ao meu sistema que adiciona uma pontuação alta aos cabeçalhos De com vários endereços. Para ser compatível, não seria correto recusar e-mail apenas com base nisso. Se eles passarem em outras verificações de spam, convém colocar as mensagens em quarentena enquanto avalia se você precisa ou deseja aceitar essas mensagens.

Edição: Revi a resposta bem pesquisada de Michael Hampton. Parece que se o cabeçalho De contém uma lista, é necessário um cabeçalho Remetente válido. Acredito que esse filtro teria capturado o spam que passou por um endereço de encaminhamento. Uma lista no cabeçalho De sem o cabeçalho Remetente violaria o objetivo pretendido de permitir a lista.

Eu executei testes preliminares em três ferramentas comuns de composição de email; Microsoft Outlook, Thunderbird e GMail. Nenhuma delas parece suportar listas no campo De. Apenas o Outlook parece oferecer suporte ao envio de email em nome de outro usuário.