يمكن أن تفشل الرسالة المعاد توجيهها للأعمال المهمة في المصادقة دون أن تكون احتيالية. وهذا لا يجعل كل رسالة على نفس الطريق جديرة بالثقة. يجب أن يحدد الاستثناء سير العمل الدقيق، وسبب فشل التحكم العادي، والضمانات المتبقية والشخص الذي سيقوم بإزالته. تعامل مع الاستثناء كقرار خطر مؤقت مدعم بالأدلة، وليس كإعلان دائم بأن المرسل آمن.
تتبع المسار الشرعي
مراجع: RFC 7208 §4.1, RFC 6376 §3.4, RFC 9989 §5.3.5.
ابدأ بخدمة محددة وصاحب عمل. تسجيل المرسل الأصلي وخدمة الشحن والمستلم النهائي والمستلمين المقصودين. احصل على عينة مباشرة معتمدة وعينة غير مباشرة، مع الاحتفاظ بمغلف SMTP بشكل منفصل عن الحقل المرئي من. قارن عنوان IP المتصل، SPF الهوية، لكل منهما DKIM مجال التوقيع ونتائج جهاز الاستقبال الموثوق به عند كل حد. تصغير المحتوى الشخصي في الرسالة المحتجزة.
يقوم نظام التعرف على هوية SPF بتقييم المضيف المتصل مقابل هوية المغلف؛ يستطيع معيد التوجيه العادي تغيير هذا المضيف دون تغيير مجال المغلف الأصلي. يمكن أن يستمر DKIM في إعادة التوجيه عند الاحتفاظ بالمواد الموقعة، ولكن يمكن أن يؤدي تغيير التذييل أو الموضوع إلى إبطالها. DMARC يحتاج إلى آلية تمرير الانحياز. تتبع هذه الفروق RFC 7208, RFC 6376 و RFC 9989. الاستثناء لا يغير نتائج البروتوكول الخاصة بهم.
وصف أصغر قرار
مراجع: RFC 9989 §7.4.
اكتب المسار المتأثر والمستلمين والغرض من الرسالة والحجم المتوقع والفشل الملحوظ. قم بتضمين المالك ومرجع الموافقة والبدء وانتهاء الصلاحية ومشغل المراجعة وعناصر التحكم التعويضية ومعايير التراجع والإزالة. هذه توصيات تشغيلية، وليست مجالات مفوضة بالبروتوكول. تفضل الإصلاح الذي يحافظ على المصادقة المحاذاة على البدل الذي يمنع الفحص. يعد السماح بمجال المرسل فقط ضعيفًا بشكل خاص لأن هذه هي الهوية التي قد يقلدها المهاجم.
إذا كان النظام الأساسي المتلقي يوفر عناصر تحكم محددة النطاق، فتحقق من المطابقة الدقيقة والأسبقية في وثائقه الحالية. لا تفترض تسمية الموصل أو عنوان IP المصدر أو ARC pass يحدد بشكل فريد التطبيق الشرعي. يمكن للبنية الأساسية المشتركة أن تحمل بريد العملاء الآخرين. الاحتفاظ بضوابط مكافحة البرامج الضارة وحماية الحساب ما لم تنص السياسة التي تمت مراجعتها بشكل صريح على خلاف ذلك؛ يجب ألا يصبح استثناء المصادقة بصمت تجاوزًا للتصفية العامة.
عمل المثال الاستثناء
مراجع: RFC 9989 §4.4.
قام المعمل المعزول المحتفظ به بإنشاء رسالة موقعة من Author.test. تمر حالتها المباشرة بنموذج SPF المحدود والتحقق الفعلي DKIM . إعادة التوجيه من خلال Forwarder.test يحافظ على DKIM . يؤدي تغيير نمط المغلف SRS إلى ترك DKIM سليمًا ولكنه يجعل مجال SPF مختلفًا عن المجال المرئي. يؤدي إلحاق التذييل إلى كسر DKIM ، دون ترك آلية تمرير محاذية في نموذج المجال الدقيق هذا.
ينطبق الاستثناء المقترح فقط على سير العمل الخيالي الأخير بينما يقوم مشغل القائمة بإزالة التعديل أو اعتماد تصميم مرسل متفق عليه. تحتوي حزمة الأدلة على بايتات الرسالة ومواد التحقق العامة والنتائج المحسوبة. إنها ليست حادثة تتعلق بالعميل أو تسليم إنتاج ملحوظ. SPF و تنسيق المنطق محدود عمدا. التحقق DKIM حقيقي. تظل عينات مسار الإنتاج واختبار القواعد الخاصة بالمستقبل ضرورية قبل الموافقة على البدل الفعلي.
مراجعة وإزالة
مراجع: RFC 9989 §7.4.
قم بتعيين تاريخ المراجعة وفقًا لخطة الإصلاح بدلاً من ترك الاستثناء مفتوحًا لأجل غير مسمى. قارن العينات الجديدة بعد ترحيل الخدمة أو إعادة توجيه التغيير أو تحديث الموفر. اختبر المسار الذي تم إصلاحه مع تعطيل السماح في نطاق خاضع للرقابة، وتحقق من التسليم الشرعي والرفض المستمر أو التدقيق في حركة المرور غير ذات الصلة.
قم بإغلاق السجل فقط عندما يؤكد المالك المسؤول سير الأعمال ويقبل مالك الأمان الدليل. احتفظ بسبب الإزالة ومرجع التكوين النهائي. إذا فشل الإصلاح، قم بالتجديد من خلال قرار متعمد بانتهاء صلاحية جديدة بدلاً من السماح بالانجراف الصامت.
تم الاحتفاظ بمسار إعادة التوجيه الخاضع للرقابة
مراجع: RFC 7208 §4, RFC 6376 §6, RFC 8601 §5.
تسجل عملية الالتقاط التي تم الاحتفاظ بها في 7 نوفمبر 2026 الساعة 21:32:53 بالتوقيت العالمي، تثبيتًا منفصلاً يرسل الرسالة الموقعة من خلال اتصالات SMTP الاسترجاعية الحقيقية. تم فحص جلسات الشبكة هذه، ولم تتم إعادة تشغيلها لهذه المراجعة. يرتبط الأصل بالرقم 127.0.0.2 ، ويرسل معيد التوجيه من 127.0.0.3 ، ويقوم المتلقي النهائي بتخزين كل رسالة. تقتصر هذه العناوين على الجهاز المحلي. تحتوي كل حالة من الحالات المباشرة وغير المتغيرة والمغلفات والتذييلات المعاد كتابتها على تتبع معاملة فعلي مع الطوابع الزمنية وهويات المغلفات والقبول النهائي. إن إعادة الكتابة عبارة عن استبدال مجال بنمط SRS لهذا التمرين المعملي، وليست كاملة SRS تطبيق.
يحسب كل حد مستلم نظام التعرف على SPF باستخدام pyspf 2.0.14 مع إجابات TXT المحلية المحقونة بشكل صريح، و DKIM باستخدام dkimpy مع المفتاح العام المحتفظ به. ويضيف المتلقي الخاصة به Authentication-Results والحقول المستلمة بعد التقييم. يتم الوثوق بهذه النتائج فقط ضمن هذه التركيبة الخاضعة للتحكم، حيث يكون رمز الإدخال والحدود معروفين. لا يقبل نص المرور المضمن التعسفي كحكم خاص به. سياسة DNS هي مدخلات محلية ثابتة، وليست مطالبة بشأن DNS العام.
عند المتلقي النهائي، تكون نتائج SPF هي النجاح والفشل والنجاح والنجاح على التوالي. نتائج DKIM هي النجاح والنجاح والنجاح والفشل. وبالتالي، يحافظ نموذج المحاذاة الدقيقة للنطاق على مصادقة DMARC للحالات الثلاث الأولى ويفشل في حالة التذييل. هذا ليس اكتشافًا كاملاً لسياسة DMARC . يقوم المعمل بتخزين الرسالة الفاشلة عمدًا لفحصها، وبالتالي فإن استجابته البالغة 250 لا تمثل دليلاً على أن موفر الإنتاج المنفذ سوف يقوم بتسليمها.
يرتبط مثال الاستثناء وتعليق الطرح بمسار التذييل التاريخي: يحافظ المسار غير المتغير على التوقيع، بينما يكسره تذييل الوسيط المتحكم فيه. احتفظ بأي بدل غير معتمد حتى تتم مراجعة نطاقه الحقيقي ومالكه وانتهاء صلاحيته وسلوك المتلقي. توثق هذه المعاملات التاريخية الخاضعة للرقابة مقارنة المسار المحلي؛ ويظل التوافق مع موفر صندوق بريد الإنتاج والترخيص الحقيقي لتدفق الأعمال وأي موافقة على الاستثناءات التشغيلية دون تنفيذ.