Elinize sağlık, çok net anlatılmış. "Beyaz listeli domain + zararlı içerik" kombinasyonu gerçekten de content-based filtrelerin (Rspamd dahil) klasik kör noktası — DKIM/SPF temiz, IP temiz olunca motorlar genelde link hedefine değil gönderici itibarına güveniyor.

Rspamd kullanmayan, SpamAssassin tabanlı kurulumlarda da aynı mantığı uygulamak mümkün: body_pattern / uri_pattern tipi custom kurallarla belirli URL kalıplarına (örneğin drive.google.com/uc?export=download) elle skor eklenebiliyor. Biz ispmanager'da mail güvenliğini SpamAssassin + greylisting + ClamAV + DNSBL kombinasyonuyla veriyoruz ve bu tarz özel imzalar SpamAssassin tarafında custom rule olarak tanımlanabiliyor. Yani motor Rspamd olmasa da mantık (link hedefini içerikten bağımsız olarak cezalandırmak) taşınabilir.

Bu tarz "zero-day bypass" yazılarının daha sık paylaşılması güzel olur, teşekkürler tekrar.