Eine Nachricht mit mehreren DKIM Signaturen erfordern eine Bewertung pro Signatur. Das Zählen der Signaturen oder die Auswahl des ersten bestandenen Ergebnisses kann zu einer falschen Identifizierung der Domäne führen, die den sichtbaren Autor authentifiziert hat. Unter RFC 9989 §4.4.1, kann jede übergebene DKIM-authentifizierte Kennung, die mit der Autorendomäne übereinstimmt, den DKIM Pfad bereitstellen DMARC passieren.
Behalten Sie die Identität jedes Ergebnisses bei
Exportieren Sie die Rohnachricht über einen genehmigten Prozess. Notieren Sie die sichtbare Von-Domäne und für jede Signatur deren d= Domäne signieren, s= Wähler, a= Algorithmus und relevant Kanonisierung Einstellungen. Verknüpfen Sie das Ergebnis des vertrauenswürdigen Empfangssystems mit dieser Signatur. Zwei Signaturen können dieselbe Domäne, aber unterschiedliche Selektoren oder Algorithmen verwenden, sodass die Domäne allein sie möglicherweise nicht unterscheidet.
Vertraue keinem Willkürlichen Authentication-Results Feld nur deshalb, weil es in der Nachricht erscheint. RFC 8601 §1.2 erklärt die Vertrauensgrenze für diese Felder. Verwenden Sie Ergebnisse, die dem empfangenden System zuzuordnen sind, dessen Bewertung Sie untersuchen, und bewahren Sie diese Quelle beim Exportieren von Beweisen auf. Ein Absender kann irreführenden Kopfzeilentext einfügen; Ein kopiertes Statusetikett ist keine unabhängige Überprüfung.
Behalten Sie die Überprüfung und Ausrichtung als separate Entscheidungen bei
Bei der Überprüfung wird festgestellt, ob eine Signatur für ihre Signaturdomäne gültig ist. Ausrichtung vergleicht diese authentifizierte Domäne mit der Autorendomäne gemäß der geltenden DMARC Regel. Die Signatur eines unabhängigen Anbieters kann vollkommen gültig sein, ohne die sichtbare Domäne des Autors für DMARC zu authentifizieren.
Für eine strikte DKIM Ausrichtung müssen die Domänen genau übereinstimmen, wobei ein Vergleich der Groß- und Kleinschreibung der Domänennamen folgt RFC 1035 §2.3.3. Bei der entspannten Ausrichtung wird die Beziehung zwischen Organisation und Domäne gemäß dem geltenden DMARC Prozess verwendet. RFC 9989 §4.10.2 definiert DNS Tree Walks für diese Bestimmung. Entscheiden Sie sich nicht für die Ausrichtung anhand eines gemeinsamen Wortes in zwei Domänennamen und gehen Sie nicht stillschweigend davon aus, dass jeder Empfänger die neueste Erkennungsimplementierung übernommen hat.
Arbeiten Sie eine synthetische Nachricht durch
Gehen Sie von einer gültigen anwendbaren DMARC Richtlinie und einer Autorendomäne aus example.com und nicht ausgerichtet SPF passieren. Signatur A verwendet d=example.net, wurde erfolgreich überprüft und stimmt nicht überein. Signatur B verwendet d=example.com Die Überprüfung schlägt jedoch nach einer nachgelagerten Inhaltsänderung fehl. Keines von beiden liefert eine ausgerichtete DKIM Passing-Identität, sodass diese Kombination keinen DMARC Pass erzeugt.
Fügen Sie nun die Signatur C hinzu d=example.com das wurde erfolgreich verifiziert. Es ist exakt ausgerichtet und liefert den DKIM Pfad an DMARC -Pass. Das nicht zusammenhängende Bestehen und die nicht bestandene Signatur stornieren C nicht automatisch. Dies ist eine beispielhafte Bewertung und kein Anspruch auf eine erfasste Kundennachricht oder eine garantierte Mailbox-Platzierung.
Schreiben Sie das Beispiel in separate Spalten in Ihren Untersuchungsdatensatz: Signatur-ID, Verifizierungsergebnis, Ausrichtungsergebnis und Beitrag zum DMARC . Kombinieren Sie niemals den Pass von Signatur A mit der ausgerichteten Domäne von Signatur B, um ein Ergebnis zu erzielen, das keine einzelne Signatur erreicht.
Erklären Sie, warum es mehrere Signaturen gibt
Parallele Algorithmen, die operative Signatur eines Anbieters und die spätere Signatur eines Vermittlers können alle zu mehreren Ergebnissen führen. Dabei handelt es sich um Hypothesen, bis die Route und die Unterzeichnerkonfiguration den Grund ermitteln. RFC 8463 §6 beschreibt verschiedene Selektoren für RSA und Ed25519 Übergangsunterschriften; Ihre Ergebnisse sollten individuell verfolgt werden.
Wenn ein Gateway geänderte E-Mails neu signiert, überprüfen Sie seine neue Domäne. Eine bestandene Gateway-Signatur repariert nicht automatisch die Authentifizierung des ursprünglichen Autors. Wenn die Organisation die letzte Signierungsphase kontrolliert, stellen Sie sicher, dass sie den beabsichtigten Nachbearbeitungsinhalt unter einer genehmigten Identität signiert. Entfernen Sie eine scheinbar überflüssige Signatur nicht, ohne ihren betrieblichen Zweck zu prüfen.
Schließen Sie mit der Schlussfolgerung auf Nachrichtenebene ab
Nachdem Sie alle relevanten DKIM -Signaturen bewertet haben, bewerten Sie die authentifizierte Kennung und Ausrichtung von SPF separat. Wenn keine anwendbare DMARC Richtlinie erkannt wird, kennzeichnen Sie die Situation nicht als normalen DMARC Fehler. Unterscheiden Sie Authentifizierungsergebnisse von der endgültigen Entscheidung des Empfängers, die zusätzliche Richtlinien oder Filterung widerspiegeln kann.
Behalten Sie die ursprüngliche Nachricht, die vertrauenswürdige Ergebnisquelle, die Analyse pro Signatur und den Grund für die endgültige Schlussfolgerung bei. Wenn Berichtstools Signaturen unterschiedlich aggregieren, vergleichen Sie deren Rohdaten, bevor Sie unterschiedliche Zusammenfassungen als Protokollwiderspruch behandeln. Das nützliche Ergebnis ist ein erklärbarer Identitätspfad und nicht einfach eine größere Anzahl grüner Indikatoren.
Zeichnen Sie das Beispiel auf, ohne die Identitäten zu vermischen
Behalten Sie für die obige synthetische Nachricht eine Zeile pro Signatur bei:
- A: example.net ; Verifizierungspass; Ausrichtungsnr.; DKIM -Beitrag zu DMARC Nr.
- B: example.com ; Überprüfung fehlgeschlagen; Domäne würde übereinstimmen, ist aber nicht authentifiziert; DKIM -Beitrag Nr.
- C: example.com ; Verifizierungspass; Ausrichtung ja; DKIM -Beitrag ja.
Bevor C vorhanden ist, lässt das angegebene Fehlen eines ausgerichteten SPF keinen Durchgangspfad offen. Wenn C vorhanden ist, unterliegt DMARC der angenommenen anwendbaren Richtlinie. Es werden keine tatsächlichen Empfängerergebnisse oder Posteingangsergebnisse beansprucht.
Verwandte Lektüre
DKIM Ausrichtung: Vergleichen Sie d= mit der sichtbaren From-Domäne · RSA- und Ed25519 DKIM Signaturen: Bereitstellungsfragen und Interoperabilität.