Onnistunut suora toimitus ei riitä todisteeksi tiukemmaksi DMARC politiikkaa. Välityspalvelu muuttaa lähetyspolkua, ja postituslista voi muuttaa allekirjoitettua sisältöä. Rakenna pieni testisarja, joka edustaa reittejä, joita yritys todella tarvitsee. Arvioi todennus toimituksesta erillään, jotta yhden vastaanottimen poikkeus ei näytä yleiseltä yhteensopivuudelta.
Määritä perusviiva
Viitteet: RFC 9989 §4.4, RFC 9989 §5.3.5.
Valitse valtuutetut lähettäjän ja vastaanottajan tilit ja vaaraton sisältö. Tallenna Lähettäjä-verkkotunnus, kirjekuoren lähettäjä, lähettää IP-osoitteen, DKIM valitsin ja allekirjoittava verkkotunnus. Säilytä suoratoimituskopio ja luotettava vastaanottajan todennustulokset. Tallenna sovellettava DMARC käytäntö ja linjaus tilassa testihetkellä. Jos perusviiva on jo kohdistettu väärin, korjaa lähettäjä ennen edelleenlähetyksen diagnosointia.
Under RFC 9989, ohitus kohdistettu SPF tai DKIM mekanismi voi täyttää DMARC . Huolitsijan verkkotunnuksen alainen SPF passi ei ole automaattisesti kohdistettu tekijän verkkotunnukseen. RFC 6376 selittää, miksi allekirjoitetun sisällön säilyttämisellä on merkitystä DKIM . Kirjaa ylös, mikä mekanismi säilyy sen sijaan, että käsittelet vihreää kokonaistulosta selityksenä.
Harjoittele mielekkäitä muunnelmia
Viitteet: RFC 6376 §3.4, RFC 8617 §7.2.1.
Sisällytä muuttumaton edelleenlähetys, kirjekuoren uudelleenkirjoitus, luettelon alatunnisteen lisääminen, aiheen muokkaus ja kaikki todellisen palvelun suorittamat MIME muunnokset. Testaa useita laillisia viestityyppejä, erityisesti sellaisia, joissa on liitteitä tai kolmannen osapuolen lähetyspolkuja. Olennainen kysymys on, muuttaako muunnos varsinaisen allekirjoituksen kattamaa materiaalia ja kanonisointi, ei sitä, näyttääkö viesti samalta asiakaskoneessa.
Säilytä negatiivinen kontrolli, jonka kohdistettu allekirjoitus on tarkoituksella virheellinen eristetyssä laboratoriossa. Vastaanotin, joka hyväksyy sekä kelvolliset että virheelliset tapaukset, saattaa soveltaa paikallista käytäntöä. Tämä havainto on hyödyllinen, mutta se ei todista, että molemmat viestit ovat autenttisia. Jos ARC on läsnä, tietueketjun validointi, sinetöijä ja vastaanottajan luottamuspäätös erikseen. RFC 8617 ei tee jokaisesta kelvollisesta ketjusta toimituskomentoa. Kuten 8. marraskuuta 2026 vahvistettiin, RFC on edelleen kokeellinen ja aktiivinen luonnos ehdottaa historiallista tilaa; harkitse tätä ehdotusta ennen uuden ARC riippuvuuden luomista.
Lue toistettava teline
Viitteet: RFC 6376 §6.
Säilytetty laboratorio allekirjoittaa yhden vaarattoman author.test-sanoman väliaikaisella RSA-avaimella ja vahvistaa sen dkimpyllä. Suora tapaus menee ohi. Muuttumaton edelleen lähetetty kopio varmistuu edelleen. SRS-tyylinen kirjekuoren muutos jättää myös DKIM voimassa, vaikka yksinkertaistettu SPF identiteetti on nyt forwarder.test eikä kohdista. Allekirjoitettuun runkoon liitetty alatunniste epäonnistuu vahvistamisessa ja tarkan verkkotunnuksen DMARC mallissa.
Jokainen tapaus säilyttää viestin tiivistelmän, reitin IP-osoitteen, kirjekuoren identiteetin, allekirjoitustoimialueen ja tuomion. Vahvistusavain on julkinen; yksityistä avainta ei säilytetä. Alkuperäisen avaimen luovan järjestelyn uudelleen suorittaminen loisi uusia avaimia ja siten uusia viestitiivisteitä; sitä ei toistettu täällä. Odotetut tuomiot pysyvät vakaina. Tämä on toistettava paikallinen testi, ei täydellinen SPF ratkaisu, DMARC toteutus, ARC validaattori tai kaupallisen postilaatikon toimittajan testi.
Päätä, jatkatko
Viitteet: RFC 9989 §8.
Luo reittimatriisi, joka näyttää testatun lähettäjän, välittäjän, vastaanottajan, viestin muunnelman, todennustuloksen ja lopullisen sijoituksen. Merkitse testaamattomat yhdistelmät tuntemattomiksi. Esimerkkimatriisin tulisi sisältää suora ohjaus ja epäonnistunut muutos, ei vain jälkikäteen valitut onnistuneet viestit. Laboratorion alatunnisteen vika on syy jättää tämä reitti korjattavaksi tai erikseen hyväksytty poikkeus.
Käytä ohjattua käyttöönottoa, jossa on nimetty palautusoikeus ja valvonta, joka vastaa palveluntarjoajan raportointiviivettä. Älä oleta, että historialliset prosenttipolitiikan reseptit pätevät edelleen nykyiseen DMARC määritykseen. Vahvista vastaanottimen ja alustan nykyinen toiminta ja säilytä sitten ennen ja jälkeen -käytäntö ja viestitodisteet. Käytännön muutos onnistuu, kun lailliset kriittiset reitit jatkavat toimintaansa ja organisaatio ymmärtää jäljellä olevat viat, ei vain kun DNS tarkistaja näkee tiukemman arvon.
Säilytetty ohjattu edelleenlähetysreitti
Viitteet: RFC 7208 §4, RFC 6376 §6, RFC 8601 §5.
Säilytetty 7. marraskuuta 2026 sieppaus kello 21:32:53 UTC tallentaa erillisen liittimen, joka lähettää allekirjoitetun viestin todellisten takaisinkytkentäisten SMTP yhteyksien kautta. Nämä verkkoistunnot tarkastettiin, ei suoritettu uudelleen tätä tarkistusta varten. Alkuperä sitoutuu 127.0.0.2 , välittäjä lähettää eteenpäin 127.0.0.3 ja lopullinen vastaanottaja tallentaa jokaisen viestin. Nämä osoitteet rajoittuvat paikalliseen koneeseen. Suorat, muuttamattomat edelleenlähetykset, uudelleenkirjoitetut kirjekuoret ja alatunnisteet sisältävät todellisen tapahtuman jäljityksen aikaleimoineen, kirjekuoren identiteeteillä ja lopullisella hyväksynnällä. Uudelleenkirjoitus on tämän laboratorion SRS-tyylinen verkkotunnuksen korvaus, ei täydellinen SRS täytäntöönpanoa.
Jokainen vastaanottoraja laskee SPF käyttämällä pyspf 2.0.14:ää, jossa on eksplisiittisesti lisätty paikalliset TXT vastaukset, ja DKIM käyttämällä dkimpyä säilytetyllä julkisella avaimella. Vastaanotin lisää omansa Authentication-Results ja Vastaanotetut kentät arvioinnin jälkeen. Näihin tuloksiin luotetaan vain tässä ohjatussa laitteessa, jossa lisättävä koodi ja raja ovat tiedossa. Se ei hyväksy mielivaltaista upotettua passitekstiä omaksi tuomiokseen. DNS käytäntö on staattinen paikallinen syöttö, ei väite julkisesta DNS :stä.
Lopullisessa vastaanottimessa SPF -tulokset ovat hyväksytty, hylätty, hyväksytty ja hyväksytty. DKIM tulokset ovat hyväksytty, hyväksytty, hyväksytty ja epäonnistunut. Tarkka verkkotunnuksen kohdistusmalli säilyttää siksi DMARC -todennuksen kolmessa ensimmäisessä tapauksessa ja epäonnistuu alatunnisteen tapauksessa. Tämä ei ole täydellinen DMARC käytäntölöytö. Laboratorio tallentaa tietoisesti jopa epäonnistuneen viestin tarkastusta varten, joten sen 250-vastaus ei ole todiste siitä, että valvova tuotantotoimittaja toimittaisi sen.
Poikkeusesimerkki ja käyttöönoton pito on sidottu tähän historialliseen alatunnisteen reittiin: muuttumaton reitti säilyttää allekirjoituksen, kun taas ohjatun välittäjän alatunniste rikkoo sen. Pidä kaikki päästöoikeudet hyväksymättä, kunnes sen todellinen laajuus, omistaja, vanheneminen ja vastaanottajan käyttäytyminen on tarkistettu. Nämä historialliset valvotut tapahtumat dokumentoivat paikallisen reitin vertailun; tuotannon postilaatikoiden ja palveluntarjoajien yhteensopivuus, todellinen liiketoimintakulun valtuutus ja mahdolliset toiminnalliset poikkeusluvat jäävät suorittamatta.