يمكن أن تكون الرسالة المُعاد توجيهها مشروعة ولكنها لا تزال فاشلة DMARC. يقوم خادم الاستقبال الأخير بتقييم الاتصال والرسالة التي يتلقاها بالفعل، وليس نية المرسل أو نتيجة التسليم المبكر. السؤال المفيد هو ما هي الهوية المصادق عليها التي لا تزال تتماشى مع المجال المرئي من بعد مرحلة إعادة التوجيه. حافظ على هذا التمييز قبل النظر في استثناء السياسة.
إعادة بناء المسار
مراجع: RFC 8601 §1.2, RFC 8601 §5.
اجمع الرسالة الأولية الأصلية، والرسالة الأولية المعاد توجيهها، والطوابع الزمنية، وتكوين إعادة التوجيه، ونتائج المصادقة التي ينشئها المتلقي. احتفظ بمغلف SMTP بشكل منفصل عن الرؤوس المرئية: لا تحافظ الرسالة المحفوظة بالضرورة على المغلف المستخدم في كل قفزة. احصل على أدلة التتبع من الأنظمة المسؤولة عن تلك القفزات. لا تعامل المرسل إدراجها Authentication-Results المجال كمراقبة استقبال موثوقة. RFC 8601 يوضح تلك الحدود.
قم بتسمية المرسل الأصلي والوسيط والمستلم النهائي. ثم قم بتسجيل عنوان IP المتصل ومجال المغلف والمجال المرئي وكل DKIM مجال التوقيع في كل نقطة تقييم قابلة للتطبيق. يكون مخطط المسار مفيدًا فقط إذا كان يعكس عمليات النقل التي تمت ملاحظتها. تظل القفزة غير المعروفة غير معروفة بدلاً من تعيين نتيجة مصادقة مفترضة لها.
تحديد مسار البقاء على قيد الحياة
مراجع: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF يقوم بتقييم نظام الاتصال مقابل هوية المغلف. عند المستلم النهائي، قد يكون خادم إعادة التوجيه خارج نطاق ترخيص نطاق المغلف الأصلي. محفوظ توقيع DKIM لا يزال بإمكانه تقديم تصريح تمت محاذاته لأن التحقق مرتبط بالرسالة الموقعة ومجال التوقيع. يمكن أن تؤدي إعادة كتابة المحتوى إلى إزالة هذا المسار المتبقي. يحتاج DMARC إلى نتيجة تمت مصادقتها ومتوافقة، وليس مجرد أي تمرير SPF أو DKIM . RFC 9989, RFC 7208 و RFC 6376 تحديد هذه الشيكات المنفصلة.
قد يقوم المغلف المعاد كتابته بواسطة SRS بتمرير نظام التعرف على هوية المرسل SPF لمجال معيد التوجيه دون محاذاة مع مجال المؤلف الأصلي. التوقيع الجديد من نفس وكيل الشحن له قيود مماثلة. لا تعني أي من الملاحظتين أن الرسالة ضارة بالضرورة، ولا تقوم أي منهما بإصلاح المصادقة المحاذاة للمؤلف تلقائيًا.
قم بتشغيل المثال المحدد
مراجع: RFC 9989 §4.4, RFC 9989 §5.3.5.
يمكن فحص نموذج المحاذاة الصارمة المحتفظ به بشكل منفصل عن التقاط SMTP . توفر الحالة المباشرة تمريرات SPF و DKIM متوافقة. توفر حالة إعادة التوجيه المحفوظة فشل نظام التعرف على SPF ونجاح DKIM المحاذي، لذلك لا يزال نموذج المحاذاة الصارمة ناجحًا. توفر حالة التذييل حالات الفشل لكلا المسارين والفشل. ال SRS تعزل الحالات كيف أن هوية نظام التعرف على هوية SPF الناجحة ولكن غير المحاذية لا تغير أيًا من هذا المنطق.
هذه القيم المنطقية هي مدخلات متعمدة، وليست نتائج لاستعلامات DNS المباشرة أو التحقق من توقيع التشفير. الرسائل الأولية التي تم إنشاؤها هي رسائل اصطناعية ولم يتم تلقيها مطلقًا. إنها توضح تغييرًا متحكمًا في الجسم ولكنها لا تلبي متطلبات الرسائل الأصلية والمعاد توجيهها ذات نتائج موثوقة. يوفر قسم مختبر SMTP المحتفظ به أدناه الأدلة التاريخية المستلمة محليًا؛ أدلة الإنتاج الخارجية لا تزال مفتوحة.
إصلاح السبب الضيق
مراجع: RFC 9989 §7.4.
اطلب من الوسيط الحفاظ على المحتوى الموقع حيثما أمكن ذلك، والتحقق من وضع التوقيع في الخدمة الأصلية. اختبر المسار التمثيلي المعتمد قبل تغيير سياسة النطاق الواسع. إذا قام المتلقي بتطبيق استثناء محلي، فاحتفظ بنطاقه ومالكه وانتهاء صلاحيته ومتطلبات التصفية المستقلة. التسليم بموجب استثناء ليس تصريح DMARC .
أغلق التحقيق فقط عندما يتم توثيق المسار المفقود والتغيير الذي تم إجراؤه وقرار المتلقي الملحوظ بشكل منفصل. أعد اختبار سير العمل الدوري ومنخفض الحجم بالإضافة إلى المسار اليومي الواضح. إن التحرك على مستوى المؤسسة للمراقبة فقط لإخفاء أحد عيوب إعادة التوجيه يمكن أن يقلل من الحماية للبريد غير ذي الصلة دون إصلاح الوسيط.
الاحتفاظ بالأدلة المخبرية SMTP
مراجع: RFC 7208 §4, RFC 6376 §6.
يسجل الالتقاط المحتفظ به بتاريخ 7 نوفمبر 2026 الساعة 21:29:16 بالتوقيت العالمي أن جهاز استقبال الاسترجاع قد التقط رسائل مباشرة وإعادة توجيه محفوظة وتعديل التذييل عبر SMTP الفعلي. وقد لاحظت النظير 127.0.0.2 للاتصال الأصلي و 127.0.0.3 لاتصال إعادة التوجيه. قام pyspf بتقييم عناوين IP تلك مقابل DNS المعزول؛ قام dkimpy بالتحقق من توقيعات RSA الفعلية. اجتازت الحالة المباشرة كلا الفحصين، وفشلت النسخة المحفوظة المُعاد توجيهها في نظام التعرف على هوية المرسل SPF ولكنها اجتازت DKIM المحاذي، وفشلت نسخة التذييل في كليهما. يتم الاحتفاظ Authentication-Results التي تم إنشاؤها بواسطة المتلقي والرسائل الأولية الكاملة مع المغلفات وقيم SHA-256.
تم فحص العداء التاريخي والرسائل المحتجزة لهذه المراجعة؛ لم تتم إعادة تشغيل تجربة الشبكة. تم تنفيذه الأصلي باستخدام الاسترجاع فقط ولم يرسل أي بريد عبر الإنترنت. يقوم جهاز الاستقبال الخاص به بإنشاء Authentication-Results من خلال فحوصاته الخاصة، مع إعطاء تلك الحقول مصدرًا مختبريًا معروفًا. تظل نتيجة المصادقة والتصرف منفصلين: تتلقى جميع عينات SMTP الستة 250 بموجب سياسة التقاط صريحة، بما في ذلك العينات الفاشلة. حدود الثقة هي هذا المختبر الخاضع للرقابة، وليس موفر صندوق بريد الإنتاج. يوفر محول DNS إجابات ثابتة بدلاً من الاستعلام عن DNS العام، ويستخدم مُقيِّم DMARC مساواة النطاق الصارمة فقط. ويظل الاكتشاف الكامل للمجال التنظيمي، وتحليل سياسة الإنتاج، ونتائج النشر المباشر، دون اختبار.