एक संदेश वैध हो सकता है DKIM हस्ताक्षर जबकि इसके सदस्यता समाप्त फ़ील्ड अहस्ताक्षरित हैं। यह एक सार्थक अंतर है: संदेश को सत्यापित करने वाले रिसीवर ने जरूरी नहीं कि विज्ञापित ऑप्ट-आउट कार्रवाई को सत्यापित किया हो। हस्ताक्षर के कवरेज का निरीक्षण करें, न कि केवल सामान्य का DKIM पास लेबल.
उस हस्ताक्षर का पता लगाएं जो ऑपरेशन की सुरक्षा करता है
RFC 8058 कम से कम एक वैध DKIM हस्ताक्षर कवर की आवश्यकता होती है List-Unsubscribe और List-Unsubscribe-Post दोनों फ़ील्ड उस वैध हस्ताक्षर के h= टैग में दिखाई देनी चाहिए। आवश्यक हस्ताक्षर न होना, प्राप्तकर्ता द्वारा विनिर्देशन के तहत एक-क्लिक सदस्यता समाप्त करने की पेशकश न करने का एक कारण है। RFC 8058 अनुभाग 4.
एक संदेश में एकाधिक हस्ताक्षर हो सकते हैं। एक की वैधता को दूसरे के हेडर कवरेज के साथ न जोड़ें और जोड़ी को पर्याप्त न कहें। आवश्यक फ़ील्ड को कवर करने वाले एकल वैध हस्ताक्षर की पहचान करें, फिर उसके हस्ताक्षरकर्ता को बनाए रखें, चयनकर्ता और सत्यापन परिणाम. यह जाँचने से अलग है कि कौन सा हस्ताक्षर इसमें योगदान देता है DMARC संरेखण.
प्रासंगिक हस्ताक्षर चरण से पहले हेडर रखें
संदेश निर्माण पाइपलाइन को मैप करें: एप्लिकेशन टेम्पलेट, सूची प्रसंस्करण, गेटवे परिवर्तन, हस्ताक्षरकर्ता और अंतिम आउटबाउंड मार्ग। यदि कोई सेवा हस्ताक्षर करने के बाद सदस्यता समाप्त फ़ील्ड जोड़ती है, तो पहले वाला हस्ताक्षर उन्हें कवर किए बिना वैध रह सकता है। समाधान फ़ील्ड को उपयुक्त हस्ताक्षर से पहले रखना है या यह सुनिश्चित करना है कि बाद में वैध हस्ताक्षर उन्हें कवर करता है।
अंतिम उत्सर्जित संदेश पढ़ें. RFC 6376 h= सूची और हेडर चयन नियमों को परिभाषित करता है, जिसमें दोहराए गए फ़ील्ड नामों को कैसे प्रबंधित किया जाता है। संदेश में कहीं भी "सूची-सदस्यता समाप्त करें" के लिए एक स्ट्रिंग खोज कवरेज परीक्षण नहीं है। डुप्लिकेट फ़ील्ड और परिवर्तनों के लिए वास्तविक हस्ताक्षर इनपुट के सावधानीपूर्वक निरीक्षण की आवश्यकता होती है। RFC 6376 अनुभाग 3.5 और 5.4.
हस्ताक्षरित और अहस्ताक्षरित परिवर्तनों में अंतर करें
एक नियंत्रित परीक्षण संदेश की कल्पना करें जिसके अन्यथा वैध हस्ताक्षर दोनों सदस्यता समाप्त फ़ील्ड को कवर करते हैं। हस्ताक्षरित यूआरआई को भिन्न मान में बदलने से हस्ताक्षरित इनपुट बदल जाता है; सामान्य DKIM सत्यापन के तहत, मूल हस्ताक्षर अब उस परिवर्तित इनपुट को मान्य नहीं करता है। इसके विपरीत, एक हस्ताक्षर जो दोनों फ़ील्ड को छोड़ देता है, उन अहस्ताक्षरित मानों में परिवर्तन के बाद भी वैध बना रह सकता है। यह बताता है कि एक सामान्य पास हर क्षेत्र को प्रमाणित क्यों नहीं कर सकता है।
ये प्रोटोकॉल-आधारित अपेक्षाएँ हैं, निष्पादित क्रिप्टोग्राफ़िक स्थिरता नहीं। वास्तविक अधिकृत उत्परिवर्तन परीक्षण के लिए सटीक मूल बाइट्स, चयनित हस्ताक्षर और सही सत्यापन कुंजी की आवश्यकता होती है। एक इंजेक्टेड परीक्षण कुंजी केवल उस परीक्षण के क्रिप्टोग्राफ़िक संबंध को प्रदर्शित करती है, सार्वजनिक DNS उद्गम या ऐतिहासिक प्राप्त परिणाम को नहीं। मूल को सुरक्षित रखें और एक अलग प्रति बदलें।
संपूर्ण हस्ताक्षरित पथ की जाँच करें
कवरेज तय करने के बाद, इच्छित मार्ग के माध्यम से एक अधिकृत परीक्षण संदेश दोबारा भेजें और प्राप्तकर्ता पक्ष पर सत्यापित करें। लिंक पुनर्लेखन, गेटवे संपादन या बाद का सूची प्रोसेसर कवर किए गए फ़ील्ड को बदल सकता है। जब संभव हो तो पूर्व-परिवर्तन और अंतिम नमूनों को सुरक्षित रखें ताकि मालिक पहले चरण का पता लगा सके जहां सत्यापन भिन्न होता है।
केवल h=. इससे RFC 8058 आवश्यकता पूरी न होने पर हस्ताक्षर को संरक्षित करना आसान हो सकता है। यदि गेटवे को कार्रवाई को बदलना होगा, तो अंतिम हस्ताक्षर सीमा का समन्वय करें और सुनिश्चित करें कि परिवर्तित यूआरआई अभी भी सही प्राप्तकर्ता और सूची में मैप हो।
परिचालन जांच पूरी करें
हस्ताक्षर कवरेज विज्ञापित फ़ील्ड को प्रमाणित करता है; यह साबित नहीं करता कि समापन बिंदु अनुरोधित दमन करता है। POST और डाउनस्ट्रीम नेक्स्ट-सेंड एक्सक्लूज़न का अलग-अलग परीक्षण करने के लिए नियंत्रित सदस्यता का उपयोग करें। इसके विपरीत, एक कार्यशील समापन बिंदु गुम हस्ताक्षर कवरेज की मरम्मत नहीं करता है।
क्लोजर रिकॉर्ड में वैध कवरिंग हस्ताक्षर, सटीक अंतिम संदेश, एंडपॉइंट स्कोप और देखे गए दमन परिणाम की पहचान होनी चाहिए। प्रदाता यूआई डिस्प्ले को सही हस्ताक्षर के वादा किए गए परिणाम के बजाय एक अलग अवलोकन के रूप में रखें।
एक हस्ताक्षर-विशिष्ट समापन रिकॉर्ड बनाए रखें
अंतिम संदेश, हस्ताक्षरकर्ता, चयनकर्ता, दो कवर किए गए फ़ील्ड और उस विशेष हस्ताक्षर के लिए सत्यापन परिणाम रिकॉर्ड करें। समापन बिंदु और दमन परिणामों को अलग-अलग रिकॉर्ड करें। यदि बाद का गेटवे फ़ील्ड को बदल देता है, तो आवश्यक कवरेज को छोड़ने के बजाय हस्ताक्षर सीमा की मरम्मत करें।