En meddelelse, der bekræfter før videresendelse og mislykkes bagefter, kræver en sammenligning af de signerede bytes og signaturkonteksten. Antag ikke, at hver tilføjet overskrift går i stykker DKIM eller det afslappede kanonisering tillader vilkårlig redigering. Signaturen identificerer de beskyttede overskriftsfelter, kanonisering og kropshash. Rekonstruer disse valg, før du beslutter, hvilken transformation der betyder noget.
Bevar sammenlignelige artefakter
Referencer: RFC 6376 §3.5, RFC 6376 §3.7.
Behold den rå originale og endelige besked uden at åbne og gemme igen gennem en klient, der kan normalisere linjeafslutninger eller omkode MIME . Optag underskriverdomænet, vælger, algoritme, underskrevet-header-liste, kanonisering og enhver kropslængdegrænse. Behold verifikatoroutput og DNS nøgleobservation med tidsstemplet. En visuelt identisk besked kan have forskellige kodede bytes.
Find underskriveren i behandlingskæden. En sidefod tilføjet før den endelige signatur er en del af det signerede indhold; den samme sidefod tilføjet efter underskrivelsen kan gøre body-hashen ugyldig. Inventarlistesoftware, gateways, ansvarsfraskrivelsesmotorer, antivirus-omskrivere og arkivstier som mulige transformationspunkter. Kun beviser fra den faktiske rute kan identificere, hvem der har handlet.
Forstå, hvad kanonisering tillader
Referencer: RFC 6376 §3.4, RFC 6376 §5.4, RFC 6376 §8.2.
RFC 6376, afsnit 3.4, definerer enkel og afslappet kanonisering. Afslappet kropsbehandling normaliserer specificerede mellemrum og efterfølgende tomme linjer. Det får ikke et tilføjet afsnit eller ændret beløb til at forsvinde. Header-kanonisering har sine egne regler og bør ikke erstattes af body-regler.
Et emnepræfiks påvirker en signatur, der dækker det relevante emnefelt. Blot at tilføje en ikke-relateret usigneret header er en anden sag. Dublerede signerede felter og valg af overskrift kræver verifikatorens regler, ikke en tilfældig visuel forskel. Hvis en signatur indeholder en kropslængdegrænse, skal du forstå risikoen for udækket indhold; indfør ikke denne mulighed som en bekvem måde at gøre vilkårlige sidefødder sikre.
Kør en ægte body-hash-sammenligning
Referencer: RFC 6376 §3.4.4.
Det lokale armatur anvender afslappet krop kanonisering til tre syntetiske kroppe. Den beregner SHA-256 og base64 for originalen, en variation, der kun består af blanktegn, og en version med tilføjet sidefod. De originale og hvide mellemrumshuse matcher; sidefodstilfældet adskiller sig. De genererede originale og ændrede .eml-filer bevarer de illustrative bodybytes til inspektion.
Dette er en observeret hash-transformation, ikke en DKIM signatur verifikation. Ingen privat signeringsnøgle, DNS nøgleopslag, headersignatur eller betroet modtagetjeneste er involveret. Den forventede effekt på en fuld signatur forbliver betinget af, at den faktiske signatur dækker de ændrede bytes. De bevarede beviser nedenfor registrerer historisk lokal signering og før-og-efter verifikation; produktionsrutebevis forbliver uindhentet.
Ret bestillingen, før du svækker dækningen
Referencer: RFC 9989 §4.4.1, RFC 9989 §5.3.5.
Hvis det er muligt, skal du anvende nødvendige transformationer før det legitime domænes sidste signeringstrin. For en mellemmand, der ikke kan underskrive for den oprindelige forfatter, kan bevarelse af det originale signerede indhold bibeholde et tilpasset pass. En erstatningssignatur fra formidleren autentificerer sit eget domæne og justeres ikke automatisk med den oprindelige Fra-adresse. RFC 9989 leverer, der adskiller sammenligning.
Gentest den samme transformation med det fulde verifikator og repræsentative MIME indhold. Inkluder vedhæftede filer, alternativer med flere dele og ikke-ASCII-meddelelser, hvis de er inden for omfanget. Bevar negative kontroller, så en test ikke kan lykkes, blot fordi signaturen forsvandt. Lukning skal sige, hvilken transformation der er ændret, hvilken signatur der nu validerer, og om den signatur giver tilpasset godkendelse ved den endelige modtager.
Beholdt laboratoriebevis
Referencer: RFC 6376 §6.
I fangsten den 7. november 2026, en midlertidig 2048-bit RSA-nøgle signerede de originale bytes med dkimpy før videresendelse. Nøglens offentlige DNS record bevares, og den private nøgle slettes efter udførelse. dkimpy verificerer de originale og bevarede videresendelsesmeddelelser og afviser den sidefodstekst. Listecasen anvender tilskrivnings- og sidefodsændringer, før dens listedomænesignatur oprettes, hvilket bekræfter. Disse er ægte komplette DKIM signaturtest, ikke leverede booleske resultater. Den afslappede kropshjælper håndterer nu også tomme input som nul-oktetter.
Den tilbageholdte løber og fangst den 7. november 2026 blev inspiceret; intet netværkseksperiment blev kørt igen for denne anmeldelse. Det oprindelige eksperiment brugte kun loopback og sendte ingen internetmail. Dens modtager skaber Authentication-Results fra sine egne kontroller, hvilket giver disse felter kendt laboratoriets oprindelse. Godkendelsesresultat og disposition forbliver adskilt: alle seks SMTP prøver modtager 250 under en eksplicit opsamlingspolitik, inklusive svigtende prøver. Tillidsgrænsen er dette kontrollerede laboratorium, ikke en produktionspostkasseudbyder. DNS adapteren leverer beholdte opspændingssvar i stedet for at forespørge offentlig DNS , og DMARC evaluator bruger kun streng domænelighed. Fuld organisationsdomæneopdagelse, produktionspolitikparsing og live-implementeringsresultater forbliver utestede.