Log de phishing por e-mail

Este relatório é um log de phishing em nível de evento: uma linha por interação de simulação observada (data, ação, e-mail do destinatário, assunto, remetente, dificuldade). Ele permanece em formato longo — não condensa o histórico de uma pessoa em um único resultado. A consulta agrupa os últimos 12 meses corridos em occurred_after (meia-noite UTC no mesmo dia do mês, doze meses atrás — não uma duração de 365 dias). A configuração, as credenciais, a paginação e a nova tentativa em caso de limite de taxa são as mesmas do guia de conectividade do Power BI / Excel. Adicione primeiro a consulta compartilhada Fn_FetchAll; este relatório a chama pelo nome.

​

Escopos de chave necessários

Uma chave com apenas simulation:read não pode chamar o endpoint de eventos de relatórios (a API retorna 403). Consulte escolha a granularidade correta.

​

Endpoints de origem

Filtros permitidos na lista de eventos (qualquer outro retorna 400): limit, page_token, simulation, entity, event_type, occurred_after. Esta família de relatórios é um conjunto de dados em versão prévia. Inspecione o esquema do conjunto de dados e as políticas de dados em GET /v1/reporting/datasets e GET /v1/reporting/datasets/simulation_events.

​

Granularidade

Uma linha por evento de simulação de relatórios. Uma pessoa que abriu e depois clicou na mesma mensagem gera duas linhas. Eventos com entity_id nulo (sem ator / destinatário / participante-alvo) ainda aparecem — email é nulo. A janela da API é ampliada em um minuto; o limite exato de occurred_at >= WindowStart é reaplicado localmente para que o último ano não dependa de o servidor tratar occurred_after como inclusivo ou exclusivo. Orçamento de requisições: um percurso paginado dos eventos na janela, mais um percurso das entidades. Sempre defina limit = "500".

​

Mapeamento de colunas

Os nomes das colunas legadas são da exportação do seu provedor anterior. Os campos de /v1 são os nomes públicos da API; a consulta atribui aliases a alguns deles para o relatório.

​

Tokens de ação

action é o token fechado de relatórios. O “Email Sent” legado corresponde a simulation.delivered (delivered é o verbo público; o token na rede é simulation.delivered). Campos extras mantidos porque a API os possui: sender_domain, full_name, event_id, entity_id, simulation_id, occurred_at, além de entity_type e entity_status da junção de entidades.

​

Divergências em relação à exportação legada

• O IP bruto nunca está disponível. /v1 não expõe o IP bruto do cliente — privacidade desde a concepção, não um mapeamento pendente. A consulta não adiciona uma coluna de IP de espaço reservado.
• O tipo de dispositivo é derivado, não bruto. device_type é uma classe de dispositivo derivada para eventos de clique, envio e relato. Os tokens observados incluem desktop, mobile, tablet e unknown, mas o emissor armazena uma string de formato livre — trate-a como texto aberto, não como uma enumeração fechada. Ela é nula quando o evento não tem classe derivada, e a string bruta de user_agent permanece privada.
• “Email Sent” é simulation.delivered. Use esse token ao filtrar ou contar envios. Não procure uma string legada email_sent.
• O e-mail do destinatário é uma junção, não um campo do evento. O evento de relatórios omite o e-mail; a consulta percorre /entities para preenchê-lo.
• Últimos 12 meses corridos, não uma duração de 365 dias, e não o histórico completo.
• Formato longo, não condensado. Uma linha por interação, não um resultado por pessoa.

​

Próximas etapas