Signal public
Des administrateurs cherchent à identifier les IP qui utilisent réellement leur relais SMTP Google Workspace. La configuration indique ce qui est autorisé, pas nécessairement ce qui est observé aujourd’hui.
Comment PunchOp mènerait l’investigation
PunchOp normaliserait les événements du relais par IP source, expéditeur d’enveloppe, fréquence et dernière observation. L’administrateur pourrait ensuite associer un propriétaire et un système à des preuves au lieu de traiter l’IP comme une identité complète.
La vue d’inventaire
Pour chaque source observée :
- IP publique et première/dernière observation ;
- identités d’expéditeur et domaines destinataires ;
- nombre d’événements acceptés, différés et rejetés ;
- propriétaire ou application connue ;
- niveau de confiance et attribution non résolue.
Limite importante
Une IP publique partagée ou dynamique ne permet pas d’identifier avec certitude une imprimante, un ERP ou une application. La correspondance finale peut nécessiter les journaux du NAT, du pare-feu ou de l’application.
Décision accompagnée
Le résultat doit aider l’administrateur à déterminer quelles entrées exigent davantage de preuves avant leur suppression, sans retirer automatiquement une autorisation.
Ce que cette preuve permet et n’autorise pas de conclure
Les événements relais observés prouvent quelles IP Google a journalisées—pas chaque appareil derrière un NAT, ni « cette IP est sûre pour toujours ». La liste blanche prouve la permission, pas l’usage actuel.
Si le message n’apparaît jamais chez Google
Ce cas d’usage concerne l’inventaire, pas un message manquant. Si une application suspectée ne génère jamais d’événements relais, elle envoie peut-être ailleurs (ESP, MX direct) et restera invisible dans la télémétrie relais Workspace tant que le chemin n’est pas confirmé.
Différence avec un outil ponctuel ou un rapport DMARC
Les RUA montrent l’authentification par IP dans le temps—utile pour des expéditeurs inattendus, pas une cartographie complète des clients relais. Voir plateformes DMARC agrégées et logs Gmail dans BigQuery.