En videresendt besked kan være legitim og stadig mislykkes DMARC. Den sidst modtagende server evaluerer forbindelsen og beskeden, den faktisk modtager, ikke afsenderens hensigt eller resultatet af en tidligere levering. Det nyttige spørgsmål er, hvilken autentificeret identitet der stadig stemmer overens med det synlige From-domæne efter videresendelseshoppet. Bevar denne sondring, før du overvejer en politikundtagelse.
Rekonstruer ruten
Referencer: RFC 8601 §1.2, RFC 8601 §5.
Indsaml den originale rå besked, den videresendte rå besked, tidsstempler, videresendelseskonfiguration og modtagergenererede godkendelsesresultater. Hold SMTP konvolutten adskilt fra de synlige overskrifter: En gemt meddelelse bevarer ikke nødvendigvis den konvolutt, der bruges ved hvert hop. Få sporbevis fra de systemer, der er ansvarlige for disse humle. Behandl ikke en afsenderindsat Authentication-Results felt som en betroet modtagerobservation. RFC 8601 forklarer den grænse.
Mærk den oprindelige afsender, mellemled og endelig modtager. Optag derefter den tilsluttede IP, kuvertdomæne, synlig fra domæne og hver DKIM signering af domæne ved hvert relevant evalueringspunkt. Et rutediagram er kun nyttigt, hvis det afspejler observerede overførsler. Et ukendt hop forbliver ukendt i stedet for at blive tildelt et antaget godkendelsesresultat.
Identificer den overlevende vej
Referencer: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF vurderer forbindelsessystemet i forhold til en kuvertidentitet. Ved den endelige modtager kan en videresendelsesserver være uden for det originale kuvertdomænes autorisation. En bevaret DKIM signatur kan stadig give et tilpasset pass, fordi verifikation er knyttet til den signerede meddelelse og signeringsdomæne. Omskrivning af indhold kan fjerne den resterende sti. DMARC har brug for et tilpasset autentificeret resultat, ikke blot et hvilket som helst SPF eller DKIM -pas. RFC 9989, RFC 7208 og RFC 6376 definere disse separate kontroller.
En SRS-omskrevet konvolut kan passere SPF for speditørens domæne uden at tilpasse sig den oprindelige forfatters Fra-domæne. En ny signatur fra den samme speditør har den analoge begrænsning. Ingen af observationerne betyder, at meddelelsen nødvendigvis er ondsindet, og heller ikke automatisk reparerer forfatterens tilpassede godkendelse.
Kør det afgrænsede eksempel
Referencer: RFC 9989 §4.4, RFC 9989 §5.3.5.
Den bibeholdte strenge justering-model kan inspiceres separat fra SMTP opsamlingen. Den direkte kasse leverer tilpassede SPF og DKIM -pas. Den bevarede videresendelsessag leverer SPF fejl og tilpasset DKIM succes, så den strenge justeringsmodel består stadig. Sidefodsboksen leverer fejl for både stier og fejl. De SRS tilfælde isolerer, hvordan en succesfuld, men uafhængig SPF identitet ikke ændrer noget af det ræsonnement.
Disse booleaner er bevidste input, ikke resultater af live DNS forespørgsler eller kryptografisk signaturverifikation. De genererede råbeskeder er syntetiske og blev aldrig modtaget. De illustrerer en kontrolleret kropsændring, men opfylder ikke kravet om ægte originale og videresendte beskeder med pålidelige resultater. Det bibeholdte SMTP laboratorieafsnit nedenfor leverer historisk lokalt modtaget bevismateriale; ekstern produktionsbevis forbliver åben.
Reparer den snævre årsag
Referencer: RFC 9989 §7.4.
Bed formidleren om at bevare signeret indhold, hvor det er muligt, og bekræft signeringsplacering i den oprindelige tjeneste. Test en repræsentativ autoriseret rute, før du ændrer bred domænepolitik. Hvis en modtager anvender en lokal undtagelse, skal dens omfang, ejer, udløb og uafhængige filtreringskrav bevares. Levering under en undtagelse er ikke et DMARC pas.
Luk først undersøgelsen, når den mistede vej, foretaget ændring og observeret modtagerbeslutning er dokumenteret særskilt. Gentest periodiske arbejdsgange og lav-volumen arbejdsgange samt den åbenlyse daglige vej. En organisationsdækkende overgang til overvågning blot for at skjule en videresendelsesfejl kan reducere beskyttelsen af ikke-relateret post uden at rette op på mellemleddet.
Beholdt SMTP -laboratoriebevis
Referencer: RFC 7208 §4, RFC 6376 §6.
Den bevarede optagelse dateret 7. november 2026 kl. 21:29:16 UTC registrerer, at loopback-modtageren fangede direkte, bevarede videresendelser og sidefodmodificerede beskeder over faktisk SMTP . Den observerede peer 127.0.0.2 for den oprindelige forbindelse og 127.0.0.3 for videresendelsesforbindelsen. pyspf evaluerede disse IP'er mod isoleret fixtur DNS ; dkimpy verificerede faktiske RSA-signaturer. Den direkte sag bestod begge kontroller, den bevarede videresendte kopi mislykkedes SPF , men bestod tilpasset DKIM , og sidefodskopien mislykkedes begge. Modtagergenererede Authentication-Results og komplette råbeskeder bevares sammen med konvolutter og SHA-256-værdier.
Den historiske løber og de bevarede meddelelser blev inspiceret til denne revision; netværkseksperimentet blev ikke kørt igen. Dens oprindelige udførelse brugte kun loopback og sendte ingen internetmail. Dens modtager opretter Authentication-Results fra sine egne kontroller, hvilket giver disse felter kendt laboratoriets oprindelse. Godkendelsesresultat og disposition forbliver adskilt: alle seks SMTP prøver modtager 250 under en eksplicit opsamlingspolitik, inklusive svigtende prøver. Tillidsgrænsen er dette kontrollerede laboratorium, ikke en produktionspostkasseudbyder. DNS adapteren leverer beholdte fixture-svar i stedet for at forespørge offentlig DNS , og DMARC -evaluatoren bruger kun streng domænelighed. Fuld organisationsdomæneopdagelse, produktionspolitikparsing og live-implementeringsresultater forbliver utestede.