PunchOp répond à une question : pourquoi cet email est arrivé, n’est pas arrivé, ou pourquoi les preuves ne permettent pas de le dire ?
C’est une investigation de circulation. Ce n’est pas un produit de réponse au phishing. Les outils vendus comme « email incident investigation » classent souvent un message signalé et retirent la même campagne de toutes les boîtes. PunchOp ne trie pas une file d’abus, ne purge pas les boîtes et ne détecte pas les malwares.
Le dossier que PunchOp vise
Pour un message, un dossier utile a quatre parties :
- Chemin d’envoi — l’application, le relais ou le fournisseur que les preuves disponibles montrent vraiment.
- Chronologie — chaque événement avec sa source (log applicatif, réponse SMTP, Email Log Search, Reports API, BigQuery, agrégat DMARC).
- Lacunes — ce qui a été cherché, ce qui manque, et ce que cette absence ne prouve pas.
- Prochain contrôle — la plus petite source suivante qui peut confirmer ou écarter la question ouverte.
Une déduction reste étiquetée comme déduction. Un journal vide n’est pas réécrit en « Google a perdu le message ».
Ce qu’une preuve autorise
| Observation | Ce qu’elle étaye | Ce qu’elle n’étaye pas |
|---|---|---|
| « Envoyé » côté application | L’application a remis le message à une bibliothèque, une file ou un serveur local | L’acceptation par Google, ni la remise au destinataire |
SMTP 250 |
Ce serveur a accepté le message pour la transaction capturée | La boîte de réception, une quarantaine ultérieure, ou une lecture |
| Résultat Email Log Search | Google a journalisé un message correspondant aux identités et à la fenêtre cherchées | Que chaque copie est arrivée en boîte |
| Email Log Search vide | Cette recherche n’a rien renvoyé | Une perte, un rejet, ou une usurpation |
| Ligne DMARC agrégée | Comment des récepteurs ont évalué l’alignement SPF/DKIM pour une source sur une fenêtre | Le message manquant d’un utilisateur |
Un expéditeur tiers (ESP, autre relais, MX direct) peut être invisible dans les journaux admin Google Workspace. La preuve suivante est parfois hors de Google.
Ce que PunchOp ne promet pas
- Retrouver et supprimer une campagne de phishing dans toutes les boîtes.
- Un SIEM, un antispam, ou un remplacement d’Email Log Search et de BigQuery.
- Une « cause racine par IA », ou la découverte de tous les expéditeurs d’un domaine.
- Un événement qu’aucun système n’a enregistré.
Google Workspace est le premier chemin parce que le labo et les guides commencent là. Un mail qui n’a jamais touché Google demande le système qui l’a réellement traité.
Où en est le produit
L’inspecteur est en développement. Les guides de ce site décrivent comment lire les preuves. Ils ne mesurent pas une couverture des incidents. Voir la méthode de preuve et la matrice du labo.