Mittenti, SMTP e OAuth

Un profilo mittente identifica il servizio SMTP usato dalla simulazione. È distinto dall'account con cui si accede a ShadowThreat. Per renderlo utilizzabile occorre salvare la configurazione e ottenere una prova SMTP accettata sulla configurazione corrente.

Scegliere e preparare il profilo

Servizio disponibile nell'organizzazione	Scelta nel portale	Preparazione necessaria prima del test
Casella Exchange Online con OAuth gestito nell'ambiente	Microsoft 365	App Entra, consenso, SMTP AUTH e Send As coerenti; collegamento OAuth dopo il salvataggio
Casella di dominio Aruba	Aruba	Account completo e password SMTP della casella; il preset non è quello PEC
Relay Workspace autorizzato per l'uscita del worker	Relay Google	Configurazione relay dell'amministratore; nessuna password Gmail da inserire
Servizio Amazon SES	Amazon SES	Endpoint e credenziali SMTP della stessa regione, mittente verificato
Altro servizio SMTP pubblico con password	SMTP personalizzato	Host, certificato valido e coppia 587/STARTTLS oppure 465/TLS

1. Aprire Mittenti → Nuovo mittente e scegliere il servizio effettivamente predisposto. La scelta del preset compila i parametri tecnici: non crea l'account presso il provider.
2. Compilare account, mittente e destinazione delle risposte. Se From e Reply-To differiscono, entrambi devono essere compresi nell'ambito della futura campagna.
3. Aprire Impostazioni server, controllare endpoint/protezione e indicare Organizzazione del provider. Per SES compilare l'endpoint regionale; per SMTP personalizzato configurare host e porta.
4. Fornire la password quando richiesta, quindi Salva profilo. Per Microsoft completare Collega Microsoft 365 dopo il salvataggio.
5. Eseguire la prova diagnostica SMTP sul profilo salvato e controllare la ricezione nella casella di collaudo.
6. Tornare alla campagna, selezionare il profilo e ripetere Verifica campagna. Il test di un profilo non sostituisce questo controllo del perimetro.

Esito atteso: il profilo corrente risulta pronto dopo una prova accettata, senza modifiche locali da salvare. Un profilo creato ma unverified non è ancora pronto per la campagna.

Campi del profilo

Aprire Simulazioni phishing → Mittenti → Nuovo mittente. La gestione richiede campaign.manage; la prova richiede anche campaign.send.

Campo	Valori / limiti	Effetto e dipendenze
Servizio di invio	Microsoft 365, Aruba, Relay Google, Amazon SES, SMTP personalizzato	Applica host, porta, TLS e autenticazione del preset; il cambio svuota la password locale
Account email di invio / Account utente SMTP	Massimo 254 caratteri, senza spazi o controlli; email completa per Microsoft, Aruba e Google	Identità del servizio SMTP; per SES usare l'utente SMTP regionale
Indirizzo mittente	Email valida, massimo 254 caratteri	Indirizzo From; deve rientrare nell'autorizzazione della campagna
Le risposte arrivano allo stesso indirizzo	Inizialmente selezionato nei nuovi profili	Usa il mittente anche come Reply-To
Indirizzo per le risposte	Email valida, massimo 254 caratteri	Visibile deselezionando l'opzione precedente; deve rientrare anch'esso nell'ambito
Password SMTP	Obbligatoria per un nuovo profilo con autenticazione password; quando fornita, 1–16.384 caratteri	Campo di scrittura: non rivela la credenziale esistente
Endpoint SMTP della regione SES	Host regionale, massimo 253 caratteri	Richiesto per SES; aggiorna anche Host SMTP
Host SMTP	Nome del server	Modificabile direttamente solo per SMTP personalizzato
Porta	465 oppure 587	Il backend accetta soltanto queste porte, anche se il controllo numerico consente di digitare altri numeri
Protezione	tls = TLS diretto; starttls = STARTTLS	465 richiede TLS diretto; 587 richiede STARTTLS
Tipo autenticazione	password, oauth2, relay	Derivato dal preset e non liberamente modificabile nella schermata
Organizzazione del provider	Obbligatorio, massimo 200 caratteri	Identificativo concordato con l'amministratore; per Microsoft è l'ID directory/tenant

La versione del preset viene gestita dalla console. Il server mantiene separatamente versione del profilo, della configurazione e della credenziale, così da non riutilizzare una prova effettuata con dati ormai diversi.

Una modifica effettiva invalida la disponibilità precedente e riporta il profilo a unverified. Salvare nuovamente dati identici non crea necessariamente una nuova revisione. La scadenza del riesame viene controllata anche nel preflight: un profilo mostrato storicamente come attivo può richiedere una nuova verifica quando il riesame è scaduto.

Conservazione della password

La dicitura Password salvata consente di lasciare il campo vuoto per conservarla. Questo vale quando restano compatibili provider, host, porta, account, organizzazione e autenticazione password. Il campo non contiene la password corrente. Se si cambia l'identità o l'endpoint del profilo, inserire una credenziale adeguata e ripetere la prova.

In caso di modifica da un'altra sessione, la console conserva la bozza locale e blocca il salvataggio in conflitto. Ricarica profilo → Scarta e ricarica sostituisce esplicitamente i valori non salvati con quelli del server.

Preset implementati

Provider	Server	Porta / protezione	Autenticazione e requisito
Microsoft 365	smtp.office365.com	587 / STARTTLS	OAuth 2.0; verificare SMTP AUTH e autorizzazione Send As
Aruba	smtps.aruba.it	465 / TLS diretto	Password della casella di dominio; PEC esclusa da questo preset
Relay Google	smtp-relay.gmail.com	587 / STARTTLS	Relay amministrativo autorizzato per IP
Amazon SES	Endpoint SMTP della regione	587 / STARTTLS iniziali	Credenziali SMTP regionali e mittente verificato
SMTP personalizzato	Da indicare	587 / STARTTLS iniziali; ammessa anche 465 / TLS	Password; endpoint pubblico e certificato TLS valido

Questi sono i preset della versione documentata di ShadowThreat, non una dichiarazione che ogni configurazione offerta dal provider sia supportata.

Microsoft 365

La connessione implementata usa un'app Microsoft Entra a tenant singolo, con una sola organizzazione Microsoft per ambiente. Preparare:

1. Registrazione dell'app nel tenant che ospita la casella.
2. Piattaforma Web e URI di reindirizzamento copiato esattamente dalla guida visibile nel profilo ShadowThreat dell'ambiente corretto.
3. Permesso delegato Office 365 Exchange Online → SMTP.Send e consenso amministrativo. Il collegamento usa anche openid, profile e offline_access.
4. ID applicazione, ID directory e valore del client secret, da configurare tramite l'amministratore del servizio. Il campo Organizzazione del provider contiene l'ID directory. La connessione attuale richiede un client secret e non implementa l'autenticazione con certificato dell'app.
5. SMTP AUTH consentito per la casella secondo la policy aziendale e Send As quando il From differisce dall'account autenticato.
6. Salvare il profilo, scegliere Collega Microsoft 365, completare il consenso e tornare al profilo per la prova SMTP.

Il client secret dell'app non è la password della casella e non va inserito nel campo SMTP del profilo. La registrazione Entra da sola non completa la configurazione OAuth del servizio. Microsoft documenta il permesso SMTP e l'uso di token di rinnovo nella guida OAuth per SMTP. Per i controlli esterni consultare anche URI di reindirizzamento Entra e SMTP AUTH per organizzazione e casella.

Google Workspace

Il preset usa il relay amministrativo, senza password Gmail. L'amministratore Workspace deve autorizzare i mittenti previsti e l'IP pubblico di uscita del worker ShadowThreat, fornito dal gestore della piattaforma. L'IP del browser e gli indirizzi privati non identificano questa uscita.

Nella configurazione del servizio di inoltro SMTP richiedere TLS e limitare l'accesso agli IP previsti. Salvare la configurazione Google, salvare il profilo ShadowThreat, effettuare la prova e verificare separatamente la ricezione. Compilare Account email non abilita SMTP AUTH: se la policy del provider lo impone, serve una configurazione compatibile concordata con l'amministratore. Documentazione del relay Google.

Amazon SES e SMTP personalizzato

Per SES inserire l'endpoint regionale nella forma prevista dal provider, l'utente SMTP e la relativa password. L'host deve coincidere con Endpoint SMTP della regione SES. Una chiave AWS generica non sostituisce automaticamente la credenziale SMTP: le credenziali sono specifiche della regione e la password SMTP è distinta dalla secret access key AWS. Credenziali SMTP Amazon SES.

Per SMTP personalizzato indicare un hostname pubblico raggiungibile dal worker e una coppia porta/protezione valida. La configurazione di riferimento non ammette una modalità SMTP in chiaro. Non sostituire il nome host con un indirizzo privato per aggirare un errore di raggiungibilità.

Prova diagnostica SMTP

1. Salvare tutte le modifiche. Una bozza non salvata non è qualificata dalla prova precedente.
2. Nel pannello Email di test, inserire un destinatario valido, massimo 254 caratteri, ammesso dalle verifiche del tenant.
3. Selezionare Invia email di test: questa operazione invia realmente un messaggio.
4. Attendere lo stato terminale. accepted rende pronto il profilo corrente ma conferma soltanto l'accettazione del server SMTP, non la consegna in casella.
5. Verificare la ricezione sul destinatario di test e poi ripetere il preflight della campagna.

Stato della prova	Significato
queued / in_flight	In coda / tentativo in corso; non avviare una seconda prova
accepted	Accettazione SMTP confermata per la configurazione e credenziale testate
rejected	Rifiuto confermato; leggere il codice e correggere configurazione o destinatario
delivery_unknown	Non è noto se il messaggio sia stato accettato; verificare presso il provider prima di un altro invio
cancelled / expired	Prova annullata o scaduta; controllare il dettaglio prima di ricrearla

Se la risposta alla richiesta non arriva, Verifica la stessa richiesta recupera il tentativo precedente mantenendo destinatario e identità della richiesta. Non è un pulsante per reinviare intenzionalmente.

Decidere il passo successivo al test

Risultato	Passo successivo	Cosa non dimostra
Accepted e messaggio ricevuto	Verificare mittente, Reply-To e cartella di recapito, poi passare al preflight della campagna	Il test diagnostico non verifica il modello della campagna né la sua popolazione
Accepted ma messaggio non visibile	Controllare quarantena, filtri e tracciamento del provider con il riferimento della prova	L'assenza nella posta in arrivo non equivale a rifiuto SMTP
Rejected con autenticazione fallita	Correggere password/OAuth o policy, salvare e fare una nuova prova	Una modifica ai campi non salvata non cambia la configurazione testata
Prova precedente non valida per la configurazione corrente	Verificare la modifica, salvare e provare il profilo corrente	La prova storica non qualifica la nuova configurazione
Delivery unknown / risposta non confermata	Recuperare il tentativo con la stessa richiesta e verificare il provider	Un timeout non autorizza a considerare il messaggio mai inviato

Per verificare anche modello, landing e risultati usare una campagna di collaudo completa, distinta dal messaggio diagnostico SMTP.

Sospensione, risoluzione e revoca

Sospendi account riguarda tutti i profili che condividono quell'account. Richiede authorization.manage, un motivo (manual_review, provider_suspended, bounce_threshold, complaint_threshold) e un riferimento di evidenza fino a 500 caratteri.

Registra risoluzione richiede l'evidenza della correzione, fino a 500 caratteri. Non esenta dalla verifica corrente del profilo e dal preflight.

Revoca profilo rende inutilizzabili credenziali e prove precedenti. I tentativi già in corso possono ancora assestarsi. Gli stati del profilo sono unverified, active, suspended, revoked; la data di riesame e la versione di configurazione sono visibili nei dettagli.