Edelleenlähetetty viesti voi olla aito ja silti epäonnistua DMARC. Viimeinen vastaanottava palvelin arvioi todellisuudessa vastaanottamansa yhteyden ja viestin, ei lähettäjän aikomusta tai aikaisemman toimituksen tulosta. Hyödyllinen kysymys on, mikä todennettu identiteetti on edelleen linjassa näkyvän From-toimialueen kanssa edelleenlähetyshypyn jälkeen. Säilytä tämä ero ennen kuin harkitset politiikkapoikkeusta.
Rekonstruoi reitti
Viitteet: RFC 8601 §1.2, RFC 8601 §5.
Kerää alkuperäinen raakaviesti, edelleenlähetetty raakaviesti, aikaleimat, edelleenlähetysasetukset ja vastaanottajan luomat todennustulokset. Pidä SMTP -kuori erillään näkyvistä otsikoista: tallennettu viesti ei välttämättä säilytä jokaisessa hyppyssä käytettyä kirjekuorta. Hanki todisteita näistä humaloista vastaavilta järjestelmiltä. Älä käsittele lähettäjää Authentication-Results kenttä luotettavana vastaanottimen havainnointina. RFC 8601 selittää tuon rajan.
Merkitse alkuperäinen lähettäjä, välittäjä ja lopullinen vastaanottaja. Tallenna sitten yhdistävä IP-osoite, kirjekuoriverkkotunnus, näkyvä Toimialueelta ja kaikki DKIM allekirjoitusalue kussakin sovellettavassa arviointipisteessä. Reittikaaviosta on hyötyä vain, jos se heijastaa havaittuja siirtoja. Tuntematon hyppy jää tuntemattomaksi sen sijaan, että sille määritettäisiin oletettu todennustulos.
Tunnista selviytymispolku
Viitteet: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF arvioi kytkentäjärjestelmän kirjekuoren identiteettiä vastaan. Lopullisessa vastaanottajassa edelleenlähettävä palvelin voi olla alkuperäisen kirjekuorialueen valtuutuksen ulkopuolella. A säilynyt DKIM -allekirjoitus voi silti tarjota tasatun passin, koska vahvistus on sidottu allekirjoitettuun viestiin ja allekirjoitustoimialueeseen. Sisällön uudelleenkirjoittaminen voi poistaa tämän jäljellä olevan polun. DMARC tarvitsee kohdistetun todetun tuloksen, ei vain SPF tai DKIM passia. RFC 9989, RFC 7208 ja RFC 6376 määritellä nämä erilliset tarkastukset.
SRS-uudelleenkirjoitettu kirjekuori voi läpäistä välittäjän toimialueen SPF ilman, että se on kohdistettu alkuperäisen kirjoittajan Lähettäjä-toimialueen kanssa. Uudella allekirjoituksella samasta huolitsijasta on vastaava rajoitus. Kumpikaan havainto ei tarkoita, että viesti olisi välttämättä haitallinen, eikä kumpikaan automaattisesti korjaa kirjoittajan kohdistettua todennusta.
Suorita rajoitettu esimerkki
Viitteet: RFC 9989 §4.4, RFC 9989 §5.3.5.
Säilytetty tiukka kohdistusmalli voidaan tarkastaa erillään SMTP kaappauksesta. Suora kotelo toimittaa kohdistettuja SPF ja DKIM passeja. Säilytetty edelleenlähettävä kotelo tarjoaa SPF virheen ja kohdistetun DKIM onnistumisen, joten tiukka kohdistusmalli menee edelleen läpi. Alatunnisteen tapaus toimittaa vikatiedot sekä poluille että epäonnistumisille. The SRS tapaukset eristävät sen, kuinka onnistunut mutta kohdistamaton SPF identiteetti ei muuta tätä päättelyä.
Nämä boolean-arvot ovat tahallisia syötteitä, eivät suorien DNS kyselyiden tai kryptografisen allekirjoituksen vahvistuksen tuloksia. Luodut raakaviestit ovat synteettisiä, eikä niitä koskaan vastaanotettu. Ne kuvaavat kontrolloitua kehon muutosta, mutta eivät täytä vaatimusta todellisista alkuperäisistä ja välitetyistä viesteistä luotetuilla tuloksilla. Alla oleva säilytetty SMTP laboratorio-osio tarjoaa historiallisia paikallisesti saatuja todisteita; ulkoinen tuotantotodistus on edelleen avoin.
Korjaa kapea syy
Viitteet: RFC 9989 §7.4.
Pyydä välittäjää säilyttämään allekirjoitettu sisältö mahdollisuuksien mukaan ja varmistamaan allekirjoituksen sijoitus alkuperäisessä palvelussa. Testaa edustajan valtuutettua reittiä ennen laajan verkkotunnuksen käytännön muuttamista. Jos vastaanotin soveltaa paikallista poikkeusta, säilytä sen soveltamisala, omistaja, vanheneminen ja riippumattomat suodatusvaatimukset. Toimitus poikkeuksena ei ole DMARC passi.
Lopeta tutkimus vasta, kun kadonnut polku, tehty muutos ja havaittu vastaanottajan päätös dokumentoidaan erikseen. Testaa uudelleen säännöllisiä ja vähäisiä työnkulkuja sekä ilmeistä päivittäistä reittiä. Organisaation laajuinen siirtyminen valvontaan vain yhden edelleenlähetysvirheen piilottamiseksi voi heikentää asiaankuulumattoman postin suojaa ilman välittäjän korjaamista.
Säilytti SMTP -laboratoriotodisteet
Viitteet: RFC 7208 §4, RFC 6376 §6.
Säilytetty kaappaus, joka on päivätty 7. marraskuuta 2026 klo 21:29:16 UTC, tallentaa, että takaisinkytkentävastaanotin sieppasi suoria, säilytettyjä edelleenlähetyksiä ja alatunnistemuokattuja viestejä todellisen SMTP kautta. Se havaitsi vertaisverkkoa 127.0.0.2 lähtöyhteydelle ja 127.0.0.3 edelleenlähetysyhteydelle. pyspf arvioi nämä IP - osoitteet eristetyn fixture DNS : n suhteen ; dkimpy vahvisti todelliset RSA-allekirjoitukset. Suora tapaus läpäisi molemmat tarkastukset, säilytetty edelleenlähetetty kopio epäonnistui SPF , mutta läpäisi tasatun DKIM ja alatunnistekopio epäonnistui molemmissa. Vastaanottimen luomat Authentication-Results ja täydelliset raakaviestit säilytetään yhdessä kirjekuorien ja SHA-256-arvojen kanssa.
Historiallinen runner ja säilytetyt viestit tarkastettiin tätä versiota varten; verkkokoetta ei suoritettu uudelleen. Sen alkuperäinen suoritus käytti vain loopbackia eikä lähettänyt Internet-postia. Sen vastaanotin luo Authentication-Results omista tarkastuksistaan ja antaa näille kentille tunnetun laboratorion alkuperän. Todennuksen tulos ja sijoitus pysyvät erillään: kaikki kuusi SMTP -näytettä saavat 250 nimenomaisen kaappauskäytännön mukaisesti, mukaan lukien epäonnistuneet näytteet. Luottamusraja on tämä valvottu laboratorio, ei tuotantopostilaatikon tarjoaja. DNS sovitin toimittaa säilytetyt kiinnitysvastaukset julkisen DNS kyselyn sijaan, ja DMARC -arvioija käyttää vain tiukkaa toimialueen tasa-arvoa. Täysi organisaation toimialueen löytäminen, tuotantopolitiikan jäsennys ja live-käyttöönoton tulokset jäävät testaamatta.