Correos y metadatos de documentos

De una lista de correos hallados en abierto se pueden sacar dos cosas muy distintas. Una es el patrón: cómo forma la empresa sus direcciones (inicial y apellido, nombre punto apellido, buzones de rol como ventas o rrhh). Eso describe la organización y es lo que el encargo necesita. La otra es el listado de personas con su cargo y su historia, que describe a individuos y no aporta nada que el informe necesite.

La regla de trabajo es la de minimizar: se anota lo imprescindible para el informe, se guarda lo mínimo y no se arma el perfil de nadie. En Colombia, además, el tratamiento de datos personales está regulado por la Ley 1581 de 2012, y un encargo no es una excusa para acumular lo que no se necesita.

Un archivo guarda, además de su contenido, datos que nadie pensó en limpiar: quién lo creó, con qué software, cuándo, en qué carpeta del servidor y desde qué equipo. Una herramienta como ExifTool los lee y los muestra en una tabla. Para el cliente, esos datos cuentan cómo se llaman sus equipos y cómo están organizadas sus carpetas internas.

Abre el laboratorio: metadatos trae lo que había dentro de los dos documentos públicos. Lee el del catálogo.

El correo de una empresa deja rastros públicos en el DNS: los registros MX dicen dónde se recibe; el registro SPF, qué servidores pueden enviar en nombre del dominio; el DMARC, qué debe hacer quien recibe un mensaje que no cumple. Son datos que el cliente publica para que el correo funcione y que describen su dependencia de un proveedor.

En dns_de_correo está el SPF del dominio. Identifica el proveedor al que delega el envío.

El registro DMARC del cliente publica p=none. Esa política le pide al receptor que no haga nada especial con los mensajes que falsifican el dominio: solo envía informes a la dirección que aparece en rua. Es una etapa legítima mientras se mide el correo, pero significa que hoy el dominio no pide rechazar ni poner en cuarentena nada.

Para un informe, lo honesto es decir qué está configurado, no que el correo se pueda falsificar con éxito: eso depende de cómo reaccione cada receptor y no se prueba leyendo el registro.

En la tabla correos_publicos hay buzones de rol y direcciones que identifican a una persona. Los primeros son de la organización; las segundas piden más cuidado, sobre todo la que salió de un foro ajeno y de hace años: la persona no publicó ese dato para el cliente, y el cliente quizá no sabe que está allí.

Antes de decidir qué hacer con ellas, hay que saber cuántas son.