Postlister kan ændre selve indholdet til en original DKIM signatur beskytter. Et emnepræfiks, sidefod, MIME omskrivning eller ændring af forfatter-header kan ændre resultatet. Diagnostiser hver transformation og listens egen signeringsadfærd, før du beslutter, om problemet er kryptografisk verifikation, justering eller modtagerhåndtering.
Fang listegrænsen
Brug en kontrolleret besked sendt både direkte og gennem listen. Få den originale indsendelse, hvor den er godkendt, listens videredistribuerede besked og den endelige modtagers betroede godkendelsesresultat. Optag det synlige From-domæne før og efter omfordeling og hver DKIM signering af domæne.
En sidefod kan ændre kropshash. Et emnepræfiks kan ugyldiggøre en signatur, der dækker emne. MIME genopbygning kan ændre kropsrepræsentationen, selv når den viste tekst ligner. Under RFC 6376 §5.4, Fra skal være dækket af en DKIM signatur, så omskrivning af den ændrer beskyttet headerindhold for den originale signatur. Det præcise resultat afhænger stadig af kanonisering, dækning og alle andre kontroller.
Skeln på listens signatur
RFC 6376 §5.5 siger, at en ændrende listeadministrator, der implementerer DKIM bør kontrollere en eksisterende signatur ved input og skal foretage ændringer, før den gensigner. En ny signatur kan autentificere listens endelige indhold under listens underskriftsdomæne. Den gendanner ikke den originale signatur med tilbagevirkende kraft eller hævder automatisk den oprindelige forfatters domæne.
For DMARC, undersøg justering i forhold til det endelige forfatterdomæne under RFC 9989 §4.4.1. Hvis listen beholder det oprindelige forfatterdomæne, men kun signerer med et ikke-relateret listedomæne, er det nye DKIM pas ikke alene en tilpasset sti. Hvis en understøttet listekonfiguration omskriver Fra til et listekontrolleret domæne og signerer med et tilpasset domæne, er de identiteter, der evalueres hos modtageren, forskellige. Denne ændring har brugersynlige svar- og tilskrivningskonsekvenser og bør gennemgås, ikke behandles som en skjult teknisk kontakt.
Gå gennem en kontrolleret sammenligning
Illustrativ case: en original meddelelse fra et forfatterdomæne har en gyldig helkropssignatur. Listen tilføjer en sidefod og signerer den ændrede besked ved hjælp af sit eget ikke-relaterede domæne, mens den originale Fra bevares. Den originale signatur kan fejle, og listesignaturen kan bestå, men sidstnævnte opfylder ikke i sig selv DKIM justeringen for den originale From. Dette forklarer, hvorfor et generisk " DKIM pass"-mærke kan være vildledende.
Brug kun en anden test, hvis listen tilbyder et understøttet alternativ, såsom en anden ændrings- eller forfatterhåndteringspolitik. Sammenlign modtagerresultater og menneskevendt svaradfærd. Antag ikke, at hvert listeprodukt har de samme muligheder, eller at alle modtagere vil træffe den samme acceptbeslutning.
Vælg en dokumenteret listepolitik
Mulige designvalg omfatter reduktion af unødvendige ændringer, signering af det endelige omdistribuerede indhold eller brug af understøttet forfatterhåndteringsadfærd med tydelig tilskrivning. Hvert valg skal være knyttet til listens formål og aktuelle produktdokumentation. Undgå at aktivere delvis kropsdækning gennem l som en universel sidefodløsning; RFC 6376 §8.2 advarer om risici med usigneret tilføjet indhold.
Hvis en modtager accepterer legitim indirekte post gennem en lokal undtagelse eller yderligere pålidelige beviser, skal denne beslutning dokumenteres separat fra DKIM og DMARC -dommene i overensstemmelse med RFC 9989 §5.3.6. Undlad at svække hele forfatterens domænepolitik, blot fordi en listesti kræver undersøgelse.
Valider læseroplevelsen
Test almindelig tekst, HTML og vedhæftede filer, plus Besvar og svar alle-adfærd. Bevar både autentificeringsbeviser og en menneskelig gennemgang af tilskrivning. En fuldført rettelse viser, hvilken identitet der tager ansvar for den videredistribuerede besked, hvilke originale garantier, der overlever, og hvordan abonnenter kan svare uden at blive vildledt.
Beviser nødvendig for den næste beslutning
Brug en hypotetisk listekørsel til at udfylde én række pr. signatur: original-/listeidentitet, signerede overskrifter, kropsdækning, verifikationsresultat og justering til det endelige forfatterdomæne. Hvis originalen fejler, og den ikke-relaterede liste-identitet passerer, skal du kontrollere SPF justering separat, før du tildeler et DMARC -resultat. Fang svaradfærd, før du godkender en synlig identitetsomskrivning. Disse er foreslåede gennemgangstrin, ikke udførte tests.