Eine an ein Workspace-Postfach oder eine Workspace-Gruppe übermittelte Nachricht kann einen zweiten Weg zurücklegen, bevor sie ihren endgültigen Leser erreicht. Der nächste Empfänger sieht das Weiterleitung Die Verbindung des Systems ist unterbrochen und die Meldung hat sich möglicherweise geändert. Testen Sie den vorhandenen Pfad, nicht eine idealisierte Stichprobe mit direkter Zustellung.
Zeichnen Sie den Pfad, bevor Sie DNS überprüfen
Erfassen Sie den ursprünglichen Absender, den ersten Workspace-Empfänger oder die erste Workspace-Gruppe, jede Erweiterungs- oder Weiterleitungsaktion und den endgültigen externen Empfänger. Unterscheiden Sie zwischen einer Postfachweiterleitungsregel, einer Gruppenverteilung und einer Routingregel. Beachten Sie, ob die Gruppe den Betreff, die Fußzeile, das Von-Feld oder das Antwortverhalten ändert. Hierbei handelt es sich um Beobachtungen, die Sie anhand Ihrer tatsächlichen Einstellungen und Nachrichten sammeln können, und nicht um allgemeine Aussagen zu jeder Google-Gruppe.
Bewahren Sie vor der Weiterleitung eine Kopie (sofern verfügbar) und die endgültige Rohnachricht auf. Verknüpfen Sie sie mit Nachrichtenkennungen und Zeitstempeln, sodass ein Vermittler eine neue Kennung generieren kann. Erfassen Sie die vollständige Fehlermeldung, wenn die Lieferung abgelehnt wird. Ein generisches Bounce-Label kann den fehlgeschlagenen Authentifizierungsmechanismus nicht identifizieren.
Überprüfen Sie die dokumentierten Google Groups-Kontrollen
In den Gruppeneinstellungen von Google wird auf den Standardabsender unter „Posting-Richtlinien“ verwiesen, mit der Adresse des Autors oder der Gruppe als Option und einer separaten Berechtigung „Wer als Gruppe posten darf“. Notieren Sie beide Einstellungen, anstatt davon auszugehen, dass jeder Poster die Gruppenidentität verwenden kann. Dadurch wird das verfügbare Steuerelement überprüft, nicht das Feld „Von“, das von Ihrer jeweiligen Lieferung erzeugt wird.
Ein Eigentümer oder Manager kann die Gruppeneinstellungen und dann die E-Mail-Optionen überprüfen. Google dokumentiert eine Betreff-Präfixsteuerung und standardmäßige oder benutzerdefinierte E-Mail-Fußzeilenoptionen. Bewahren Sie ihre aktuellen Werte vor einem genehmigten Test auf; Ändern Sie jeweils eine Einstellung in einer kontrollierten Gruppe. Die separate Option „Antworten posten an“ steuert die Standardantwortempfänger, nicht jedoch DMARC Ausrichtung. Diese produktspezifischen Merkmale erklären, warum der Testplan Subjekt-, Körper- und Identitätsvergleiche umfasst.
Die Fußzeilenanweisungen von Google besagen, dass eine von der Gruppe in Gmail empfangene Nachricht überprüft werden soll: Die Fußzeile wird nicht in der Konversationsansicht der Gruppe, im Gmail Ordner „Gesendet“ oder in einer Kopie angezeigt, auf der Sie auf Cc gesetzt wurden. Behalten Sie zur Authentifizierungsanalyse zusätzlich die endgültig übermittelte Rohnachricht vom vorgesehenen Verteilungspfad bei. Ein Bildschirm, auf dem die Fußzeile weggelassen wird, darf nicht als Beweis dafür verwechselt werden, dass keine Änderung vorgenommen wurde. Diese offiziellen Anweisungen legen das Funktionsmodell fest; Nur Vorher-Nachher-Nachrichten können feststellen, ob sich ein bestimmtes signiertes Feld geändert hat und welche Signatur erhalten geblieben ist.
Trennen Sie SPF Reparatur von der ursprünglichen Domänenausrichtung
Durch die Weiterleitung wird die IP geändert, die eine Verbindung zum endgültigen Empfänger herstellt. Die ursprüngliche Domain SPF Die Richtlinie darf diesen Vermittler möglicherweise nicht autorisieren. Die zitierten Weiterleitungsrichtlinien von Google beziehen sich speziell auf E-Mails, die an Gmail weitergeleitet werden. Es handelt sich nicht um eine Spezifikation der ausgehenden Standardeinstellungen von Google Groups. Für Administratoren, die diesen Weiterleitungspfad betreiben, empfiehlt es sich, den zu ändern Umschlagabsender zu einer Weiterleitungsdomänenidentität und Autorisierung des Weiterleitungsdienstes in der SPF Richtlinie dieser Domäne. Dadurch kann das SPF Ergebnis der Weiterleitungsidentität repariert werden, ohne es mit der ursprünglich sichtbaren Von-Domäne abzugleichen.
Fügen Sie nicht alle möglichen Weiterleitungsdienste zum ursprünglichen Absender hinzu SPF Eintrag. Sie haben möglicherweise keine Kontrolle über diese Domäne und die Änderung würde die ursprüngliche Sendeautorisierung mit dem Downstream-Routing verwechseln. Wenn der Forwarder das Umschreiben des Absenders bereitstellt, bestätigen Sie sein unterstütztes Verhalten und testen Sie die resultierende Identität, anstatt eine bestimmte Implementierung anzunehmen.
Behalten Sie einen überlebenden DKIM Pfad bei
Google empfiehlt, Änderungen an signierten Headern und Textinhalten zu vermeiden, da Änderungen ungültig werden können DKIM. Überprüfen Sie die d=-Domäne der Originalsignatur. Wähler und Empfängerergebnis nach dem letzten Hop. Eine zweite Signatur des Weiterleitungsdienstes stimmt nicht automatisch mit der From-Domäne des ursprünglichen Autors überein.
ARC, oder Authentifizierte Empfangskette, sofern vorhanden, führt eine vorherige Authentifizierungsbewertung durch Vermittler durch. Es wandelt nicht jede weitergeleitete Nachricht in einen DMARC Pass um und zwingt einen Empfänger nicht dazu, der Kette zu vertrauen. Zeichnen Sie ARC Ergebnisse und die Entscheidung des endgültigen Empfängers separat auf. Google führt explizit eigene Authentifizierungsprüfungen für weitergeleitete Nachrichten durch.
Vergleichen Sie drei kontrollierte Fälle
Diese ursprüngliche Testmatrix beschreibt erwartete Argumente, nicht beobachtete Google-Ergebnisse. Verwenden Sie eine autorisierte Absenderdomäne sowie kontrollierte Gruppen und Posteingänge.
- Fall: Direkte Steuerung; Was sich ändert: Kein Gruppen- oder Weiterleitungsschritt; Was zu vergleichen ist: Basis- SPF , DKIM und DMARC Identitäten.
- Fall: Unveränderter Vorwärtsgang; Was ändert sich: IP und ggf. Umschlag verbinden; Was zu vergleichen ist: Ob das Original ausgerichtet ist DKIM Signatur überlebt.
- Fall: Gruppenerweiterte Nachricht; Was ändert sich: Tatsächlich konfigurierte Gruppentransformationen; Was zu vergleichen ist: Integrität signierter Inhalte, sichtbares Absender, alle Signaturen und ARC .
Angenommen, „From“ ist author@example.com , ein Forwarder schreibt den Umschlag in forwarding.example.net “ um und SPF leitet ihn dorthin weiter. Wenn die ursprüngliche d=example.com -Signatur gültig bleibt, kann sie DMARC Ausrichtung bereitstellen. Wenn diese Signatur fehlschlägt und die einzige verbleibende gültige Signatur d=example.net, stimmt keiner der aufgeführten Pfade mit example.com überein. Bei dieser Abbildung wird davon ausgegangen, dass keine zusätzliche ausgerichtete Signatur vorhanden ist. Der Empfänger kann weiterhin seine eigene lokale Dispositionsrichtlinie anwenden.
Reparieren Sie die kleinste verantwortliche Komponente
Wenn eine Fußzeile die verbleibende Signatur beschädigt, überprüfen Sie diese Transformation oder das vom Anbieter unterstützte Gruppenverhalten. Wenn die sichtbare From-Identität absichtlich umgeschrieben wird, prüfen Sie die Authentifizierung für die neue Identität und prüfen Sie, ob die Präsentation weiterhin dem Zweck der Gruppe dient. Deaktivieren Sie den Domänenschutz nicht global, um die Bereitstellung über einen einzigen Verteilungspfad zu ermöglichen.
Behalten Sie das Pfaddiagramm, die Überarbeitung der Einstellungen, die redigierten Vorher-Nachher-Header und das Endergebnis bei. Führen Sie den Vergleich nach Änderungen der Gruppeneinstellungen, Routing-Aktualisierungen, neuen Gateways, Signaturrotationen oder Richtlinienänderungen eines empfangenden Anbieters erneut aus. Authentifizierungsergebnisse sind eine Eingabe für die Übermittlung. Beschwerde- und Missbrauchskontrollen sind auch dann noch wichtig, wenn die technische Kette gültig ist.
Behalten Sie einen minimalen Vergleichsdatensatz bei
Notieren Sie für jeden kontrollierten Pfad die Einstellungsrevision, die ursprünglichen und endgültigen Nachrichtenkennungen, die UTC-Zeiten, den sichtbaren Absender, die Umschlagidentität, alle DKIM Unterzeichner und die Ergebnisse vertrauenswürdiger Empfänger. Fügen Sie das genaue geänderte Feld oder die Körperregion hinzu, sofern die Beweise dies zulassen. Behalten Sie ein separates unbekanntes Feld für eine nicht verfügbare Kopie vor der Weiterleitung. Durch das Fehlen des Originals kann nicht festgestellt werden, welcher Vermittler die Nachricht geändert hat.