SMTP permite múltiples direcciones FROM en el RFC. ¿Fue útil alguna vez? ¿Por qué existe esto?

SMTP permite múltiples direcciones FROM en el cuerpo (no el sobre) de acuerdo con los RFC.

¿Alguna vez se ha utilizado esta función con un propósito legítimo?

¿Es seguro descartar mensajes que tienen múltiples direcciones FROM?

RFC 822 en realidad da un ejemplo de este uso. Se requirió (Sección 4.4) que el encabezado Remitente: esté presente cuando se usó.

     A.2.7.  Agent for member of a committee

             George's secretary sends out a message which was authored
        jointly by all the members of a committee.  Note that the name
        of the committee cannot be specified, since <group> names  are
        not permitted in the From field.

            From:   Jones@Host,
                    Smith@Other-Host,
                    Doe@Somewhere-Else
            Sender: Secy@SHost

RFC 2822 , que lo dejó obsoleto, continuó permitiendo explícitamente esta construcción en particular (Sección 3.6.2).

from            =       "From:" mailbox-list CRLF

mailbox-list    =       (mailbox *("," mailbox)) / obs-mbox-list

En el estándar actual , RFC 5322 , esto no ha cambiado y aún se permiten explícitamente varias direcciones (Sección 3.6.2).

   The from field consists of the field name "From" and a comma-
   separated list of one or more mailbox specifications.  If the from
   field contains more than one mailbox specification in the mailbox-
   list, then the sender field, containing the field name "Sender" and a
   single mailbox specification, MUST appear in the message.

¿Alguna vez fue útil? Sí, y todavía lo es, exactamente para el tipo de escenario que se muestra en el antiguo ejemplo. Se supone que los mensajes con varios autores tienen todos ellos listados en el encabezado De: con el Remitente: configurado para la persona que realmente presionó Enviar en su programa de correo electrónico.

   The originator fields indicate the mailbox(es) of the source of the
   message.  The "From:" field specifies the author(s) of the message,
   that is, the mailbox(es) of the person(s) or system(s) responsible
   for the writing of the message.  The "Sender:" field specifies the
   mailbox of the agent responsible for the actual transmission of the
   message.  For example, if a secretary were to send a message for
   another person, the mailbox of the secretary would appear in the
   "Sender:" field and the mailbox of the actual author would appear in
   the "From:" field.  If the originator of the message can be indicated
   by a single mailbox and the author and transmitter are identical, the
   "Sender:" field SHOULD NOT be used.  Otherwise, both fields SHOULD
   appear.

En la práctica en Internet público, los mensajes en los que se hace esto son poco comunes, aunque ocurren especialmente en entornos empresariales y académicos donde es mucho más común que una persona envíe correos electrónicos en nombre de otra o de un grupo.

Nunca he visto spam que haga esto (y supere todos mis otros controles). En general, consideraría inseguro descartar o aumentar el puntaje de spam de dicho mensaje.

No he visto varias direcciones en el campo De para fines legítimos. Los pocos casos que he visto estaban relacionados con el correo no deseado y tenían varias copias de la misma dirección.

No conozco ningún software de composición de mensajes que admita listas en este contexto. Los casos que considero que podrían ser apropiados son relativamente pocos, y en mi experiencia se manejan de otras maneras.

He agregado una regla de spam a mi sistema que agrega un puntaje alto a los encabezados From con múltiples direcciones. Para cumplir, no sería correcto rechazar el correo solo por esta razón. Si pasan otras comprobaciones de spam, es posible que desee poner en cuarentena los mensajes mientras evalúa si necesita o desea aceptar dichos mensajes.

EDITAR: He revisado la respuesta bien investigada de Michael Hampton. Parece que si el encabezado From contiene una lista, se requiere un encabezado de remitente válido. Creo que dicho filtro habría captado el correo no deseado que pasó a través de una dirección de reenvío. Una lista en el encabezado De sin encabezado del remitente violaría el propósito previsto de permitir la lista.

He realizado pruebas preliminares en tres herramientas comunes de composición de correo; Microsoft Outlook, Thunderbird y GMail. Ninguno de estos parece admitir listas en el campo De. Solo Outlook parece admitir el envío de correo electrónico en nombre de otro usuario.