Die Weiterleitung wird nicht automatisch unterbrochen DKIM. Ein Weiterleiter, der den abgedeckten Nachrichteninhalt bewahrt, kann die ursprüngliche Signatur gültig lassen. Ein Forwarder, der abgedeckte Header oder Textinhalte neu schreibt, kann diese ungültig machen. Diagnostizieren Sie, was der Weiterleitungsdienst tatsächlich tut, anstatt alle indirekten Zustellungen als einen einzigen Fehlermodus zu behandeln.
Verfolgen Sie Identitäten und Transformationen separat
Beim Endempfänger SPF wertet aus das Verbindungssystem und die entsprechende SMTP Identität. Durch die Weiterleitung kann sich die Verbindungs-IP ändern, selbst wenn der Nachrichtentext unberührt bleibt. DKIM überprüft stattdessen den abgedeckten Nachrichteninhalt anhand des Schlüssels der signierenden Domäne. Diese Mechanismen können daher bei derselben weitergeleiteten Nachricht voneinander abweichen.
Notieren Sie die sichtbare Von-Domäne, jede DKIM Signaturdomäne, Wähler und Ergebnis, die Umschlagidentität und den Weiterleitungs-Hop. DMARC erfordert einen passgenauen Authentifizierungspfad, der an der Autorendomäne ausgerichtet ist. Eine intakte Ausrichtung DKIM Signatur kann diesen Pfad im Rahmen einer geltenden Richtlinie bereitstellen, wenn die Weiterleitung gestört ist SPF, wie in angegeben RFC 9989 §4.4.1. Eine neu hinzugefügte Signatur unter einer nicht verwandten Weiterleitungsdomäne wird nicht automatisch ausgerichtet.
Vergleichen Sie direkte und weitergeleitete Proben
Senden Sie eine kontrollierte Nachricht an einen direkten Test-Posteingang und über die Weiterleitungsroute an einen anderen Test-Posteingang. Behalten Sie Rohnachrichten und Ergebnisse vertrauenswürdiger Empfänger bei. Verwenden Sie einen eindeutigen Testmarker, damit die Proben zugeordnet werden können, ohne sich ausschließlich auf das Subjekt zu verlassen. Schließen Sie nicht vom gerenderten Körper auf Gleichheit.
Überprüfen Sie Änderungen am Hauptteil, Betreff und anderen in h ausgewählten Feldern. Überprüfen Sie c und alle l-Tags, bevor Sie Unterschiede interpretieren. Standard Kanonisierung kann bestimmte Formatierungsänderungen tolerieren, während substantielles Umschreiben die signierte Darstellung ändern kann. Hinzugefügte Transportheader machen eine Signatur, die diese neuen Vorkommnisse nicht abdeckte, nicht automatisch ungültig. Die Auswahl wiederholter Header und das Überzeichen können von Bedeutung sein RFC 6376 §5.4.2.
Arbeiten Sie sich durch zwei Wege
Beispielpfad A leitet die Nachricht weiter, ohne den abgedeckten Inhalt zu ändern. Die Originalunterschrift kann gültig bleiben. Pfad B fügt dem signierten Text ein Warnbanner hinzu, was dazu führt, dass die ursprüngliche Ganzkörpersignatur fehlschlägt. Die Verbindung kann auf beiden Pfaden identisch sein, sodass SPF Beobachtungen allein den DKIM Unterschied nicht erklären können.
Ein Spediteur könnte das auch umschreiben Umschlagabsender die eigene SPF Autorisierung zu verbessern. Dadurch wird eine beschädigte DKIM Signatur nicht wiederhergestellt und es wird auch nicht unbedingt SPF erstellt Ausrichtung mit der ursprünglich sichtbaren From-Domain. Halten Sie die drei Fragen getrennt: Welche Identität hat SPF bestanden, welche Signatur hat DKIM bestanden und ob einer der Pfade ausgerichtet ist.
Wählen Sie eine Abhilfemaßnahme aus
Wenn die Inhaltserhaltung mit den Sicherheitsverpflichtungen des Dienstes vereinbar ist, überprüfen Sie die unterstützten Einstellungen, um unnötige Änderungen zu vermeiden. Wenn eine Änderung erforderlich ist, prüfen Sie die dokumentierte Signatur und die Handhabung indirekter E-Mails des Dienstes. Gewähren Sie Ihre Signaturschlüssel nicht willkürlichen Weiterleitungen und autorisieren Sie diese nicht in SPF , um ein Symptom verschwinden zu lassen.
Ein Verwaltungsempfänger kann für indirekte Post zusätzliche vertrauenswürdige Beweise oder lokale Richtlinien verwenden, aber das ist eine separate Annahmeentscheidung. Melden Sie eine solche Annahme nicht als Wiederherstellung der Originalunterschrift. Behalten Sie Geschäftsanforderungen und etwaige Ausnahmeeigentümer neben dem technischen Ergebnis bei.
Schließen Sie mit einem streckenspezifischen Nachweis ab
Wiederholen Sie die Direct-versus-Forwarded-Tests für Klartext, HTML und Anhänge nach einer Änderung. Notieren Sie, welche Originalsignaturen erhalten bleiben, ob eine neue Signatur erscheint und welche endgültigen DMARC und Zustellungsergebnisse vorliegen. Behalten Sie die Weiterleitungsroute bei Regressionstests bei, da eine spätere Banner- oder Scan-Änderung das Ergebnis ohne DNS Änderung beim Absender ändern kann.
Lesen Sie zwei hypothetische Ergebnisse auf Nachrichtenebene
Gehen Sie von einer anwendbaren DMARC Richtlinie und Autorendomäne example.com aus:
- Behaltener Pfad: SPF schlägt nach der Weiterleitung fehl, aber die ursprüngliche d=example.com -Signatur wird weiterhin überprüft. Diese exakt ausgerichtete DKIM Identität liefert DMARC Pass.
- Geänderter Pfad: Die ursprüngliche DKIM Signatur schlägt fehl; Die einzige neue Passsignatur und SPF Identität gehören zu forwarder.example.net . Unter der Annahme, dass die Domain nichts mit example.com zu tun hat, bietet keine der beiden eine Ausrichtung, sodass DMARC fehlschlägt. Der Empfänger kann weiterhin eine gesonderte lokale Abwicklungsentscheidung treffen.
Führen Sie den Pass der neuen Signatur nicht mit der Domäne der alten Signatur zusammen. Diese Fälle veranschaulichen die Verhältnisse in RFC 9989 §5.3.5; Es handelt sich nicht um erfasste Empfängerergebnisse oder Garantien für jeden Speditionsdienst.