Videresendelse afbrydes ikke automatisk DKIM. En videresender, der bevarer det dækkede meddelelsesindhold, kan lade den originale signatur være gyldig. En videresender, der omskriver dækkede overskrifter eller kropsindhold, kan ugyldiggøre den. Diagnostiser, hvad forsendelsestjenesten rent faktisk gør i stedet for at behandle al indirekte levering som én fejltilstand.
Spor identiteter og transformationer separat
Ved den endelige modtager, SPF evaluerer det tilsluttede system og relevant SMTP identitet. Videresendelse kan ændre den forbindende IP, selv når meddelelsesteksten er uberørt. DKIM verificerer i stedet dækket beskedindhold mod signeringsdomænets nøgle. Disse mekanismer kan derfor divergere på den samme videresendte meddelelse.
Optag det synlige Fra-domæne, hvert DKIM signeringsdomæne, vælger og resultatet, kuvertidentiteten og fremsendelseshoppet. DMARC kræver en bestået godkendelsessti tilpasset forfatterdomænet. En intakt justeret DKIM signatur kan levere denne sti i henhold til en gældende politik, når videresendelse er forstyrret SPF, som angivet i RFC 9989 §4.4.1. En nyligt tilføjet signatur under et ikke-relateret videresendelsesdomæne justeres ikke automatisk.
Sammenlign direkte og videresendte prøver
Send en kontrolleret besked til en direkte testindbakke og gennem videresendelsesruten til en anden testindbakke. Bevar rå beskeder og betroede modtagerresultater. Brug en unik testmarkør, så prøverne kan associeres uden udelukkende at stole på emnet. Udled ikke lighed fra den gengivne krop.
Undersøg ændringer af brødteksten, Emne og andre felter valgt i h. Tjek c og enhver l-tag, før du fortolker forskelle. Standard kanonisering kan tolerere visse formateringsændringer, mens indholdsmæssig omskrivning kan ændre den signerede repræsentation. Tilføjede transportoverskrifter ugyldiggør ikke i sagens natur en signatur, der ikke dækkede disse nye hændelser; gentaget-header valg og oversignering kan have betydning under RFC 6376 §5.4.2.
Arbejd gennem to veje
Illustrativ sti A videresender meddelelsen uden at ændre dækket indhold. Den originale signatur kan forblive gyldig. Sti B tilføjer et advarselsbanner til den underskrevne brødtekst, hvilket får den originale helkropssignatur til at mislykkes. Forbindelsen kan være identisk på begge veje, så SPF observationer alene kan ikke forklare DKIM forskellen.
En speditør kan også omskrive konvolutafsender at forbedre sin egen SPF autorisation. Det gendanner ikke en ødelagt DKIM signatur eller skaber nødvendigvis SPF justering med det originale synlige Fra domæne. Hold de tre spørgsmål adskilt: hvilken identitet bestod SPF , hvilken signatur bestod DKIM , og om en af stierne var justeret.
Vælg et omfangsrettet middel
Hvis indholdsbevaring er kompatibel med tjenestens sikkerhedsforpligtelser, skal du gennemgå understøttede indstillinger, der undgår unødvendige ændringer. Hvis ændring er påkrævet, skal du vurdere tjenestens dokumenterede signering og indirekte-mail-håndtering. Giv ikke vilkårlige speditører dine signeringsnøgler eller godkend dem generelt i SPF til at få et symptom til at forsvinde.
En administrativ modtager kan bruge yderligere pålidelige beviser eller lokal politik for indirekte post, men det er en separat acceptbeslutning. Rapporter ikke en sådan accept som gendannelse af den originale signatur. Bevar forretningskrav og eventuelle undtagelsesejere sammen med det tekniske resultat.
Luk med rutespecifik bevis
Gentag testene direkte versus videresendt for almindelig tekst, HTML og vedhæftede filer efter en ændring. Registrer hvilke originale signaturer, der overlever, om en ny signatur vises, og de endelige DMARC og leveringsresultater. Behold videresendelsesruten i regressionstest, fordi en senere banner- eller scanningsændring kan ændre resultatet uden nogen DNS ændring hos afsenderen.
Læs to hypotetiske resultater på budskabsniveau
Antag en gældende DMARC politik og Author Domain example.com :
- Bevaret sti: SPF mislykkes efter videresendelse, men den originale d=example.com -signatur bekræfter stadig. Den nøjagtigt tilpassede DKIM identitet leverer DMARC -pas.
- Ændret sti: den originale DKIM signatur mislykkes; den eneste nye passerende signatur og SPF identitet tilhører forwarder.example.net . Hvis det antages, at domænet ikke er relateret til example.com , leverer ingen af dem justering, så DMARC mislykkes. Modtageren kan stadig træffe en separat lokal håndteringsbeslutning.
Du må ikke flette den nye signaturs pas med den gamle signaturs domæne. Disse sager illustrerer forholdene i RFC 9989 §5.3.5; de er ikke registrerede modtagerresultater eller garantier for enhver videresendelsestjeneste.