कई के साथ एक संदेश DKIM हस्ताक्षरों के प्रति-हस्ताक्षर मूल्यांकन की आवश्यकता होती है। हस्ताक्षरों की गिनती करना या पहले उत्तीर्ण परिणाम का चयन करना उस डोमेन की गलत पहचान कर सकता है जिसने दृश्यमान लेखक को प्रमाणित किया है। अंतर्गत RFC 9989 §4.4.1, लेखक डोमेन के साथ संरेखित कोई भी पासिंग डीकेआईएम-प्रमाणीकृत पहचानकर्ता DKIM पथ की आपूर्ति कर सकता है DMARC उत्तीर्ण।
प्रत्येक परिणाम की पहचान सुरक्षित रखें
एक अनुमोदित प्रक्रिया के माध्यम से कच्चे संदेश को निर्यात करें। दृश्यमान डोमेन को रिकॉर्ड करें और, प्रत्येक हस्ताक्षर के लिए, उसे d= डोमेन पर हस्ताक्षर करना, s= चयनकर्ता, a= एल्गोरिदम और प्रासंगिक कैनॉनिकलाइज़ेशन सेटिंग्स. विश्वसनीय प्राप्तकर्ता प्रणाली के परिणाम को उस हस्ताक्षर के साथ संबद्ध करें। दो हस्ताक्षर एक ही डोमेन का उपयोग कर सकते हैं लेकिन अलग-अलग चयनकर्ता या एल्गोरिदम का उपयोग कर सकते हैं, इसलिए अकेले डोमेन उन्हें अलग नहीं कर सकता है।
मनमानी पर भरोसा न करें Authentication-Results फ़ील्ड केवल इसलिए क्योंकि यह संदेश में दिखाई देता है। RFC 8601 §1.2 उन क्षेत्रों के लिए विश्वास सीमा की व्याख्या करता है। प्राप्तकर्ता प्रणाली से संबंधित परिणामों का उपयोग करें जिसके मूल्यांकन की आप जांच कर रहे हैं, और साक्ष्य निर्यात करते समय उस स्रोत को सुरक्षित रखें। एक प्रेषक भ्रामक हेडर टेक्स्ट सम्मिलित कर सकता है; कॉपी किया गया स्टेटस लेबल एक स्वतंत्र सत्यापन नहीं है।
सत्यापन और संरेखण को अलग निर्णय के रूप में रखें
सत्यापन यह स्थापित करता है कि कोई हस्ताक्षर अपने हस्ताक्षर डोमेन के लिए मान्य है या नहीं। संरेखण लागू DMARC नियम के तहत उस प्रमाणित डोमेन की तुलना लेखक डोमेन से करता है। DMARC के लिए लेखक के दृश्यमान डोमेन को प्रमाणित किए बिना एक असंबंधित प्रदाता का हस्ताक्षर पूरी तरह से मान्य हो सकता है।
सख्त DKIM संरेखण के लिए, डोमेन को बिल्कुल मेल खाना चाहिए, डोमेन-नाम केस की तुलना निम्नलिखित होनी चाहिए RFC 1035 §2.3.3. रिलैक्स्ड अलाइनमेंट लागू DMARC प्रक्रिया द्वारा निर्धारित उनके संगठनात्मक-डोमेन संबंध का उपयोग करता है। RFC 9989 §4.10.2 इस निर्धारण के लिए DNS ट्री वॉक को परिभाषित करता है। दो डोमेन नामों में एक सामान्य शब्द से संरेखण का निर्णय न करें, और चुपचाप यह न मानें कि प्रत्येक प्राप्तकर्ता ने नवीनतम खोज कार्यान्वयन को अपनाया है।
एक सिंथेटिक संदेश के माध्यम से कार्य करें
एक मान्य लागू DMARC नीति, एक लेखक डोमेन मान लें example.com और कोई गठबंधन नहीं SPF उत्तीर्ण। हस्ताक्षर ए का उपयोग करता है d=example.net, सफलतापूर्वक सत्यापित करता है और संरेखित नहीं होता है। हस्ताक्षर बी का उपयोग करता है d=example.com लेकिन डाउनस्ट्रीम सामग्री परिवर्तन के बाद सत्यापन विफल हो जाता है। इनमें से कोई भी संरेखित पासिंग DKIM पहचान प्रदान नहीं करता है, इसलिए यह संयोजन DMARC पास उत्पन्न नहीं करता है।
अब इसके साथ सिग्नेचर C जोड़ें d=example.com जो सफलतापूर्वक सत्यापित हो जाता है। यह बिल्कुल संरेखित होता है, इसलिए यह DMARC पास को DKIM पथ प्रदान करता है। असंबंधित पास और असफल हस्ताक्षर स्वचालित रूप से सी को रद्द नहीं करते हैं। यह एक उदाहरणात्मक मूल्यांकन है, कैप्चर किए गए ग्राहक संदेश या गारंटीकृत मेलबॉक्स प्लेसमेंट के बारे में दावा नहीं।
उदाहरण को अपने जांच रिकॉर्ड में अलग-अलग कॉलम में लिखें: हस्ताक्षर पहचानकर्ता, सत्यापन परिणाम, संरेखण परिणाम और DMARC में योगदान। किसी भी व्यक्तिगत हस्ताक्षर के परिणाम प्राप्त करने के लिए हस्ताक्षर ए के पास को हस्ताक्षर बी के संरेखित डोमेन के साथ कभी न मिलाएं।
बताएं कि एकाधिक हस्ताक्षर क्यों हैं
समानांतर एल्गोरिदम, एक प्रदाता के परिचालन हस्ताक्षर और एक मध्यस्थ के बाद के हस्ताक्षर सभी कई परिणाम बना सकते हैं। ये तब तक परिकल्पनाएं हैं जब तक कि मार्ग और हस्ताक्षरकर्ता कॉन्फ़िगरेशन कारण स्थापित नहीं कर देते। RFC 8463 §6 आरएसए और के लिए अलग-अलग चयनकर्ताओं का वर्णन करता है Ed25519 संक्रमण हस्ताक्षर; उनके परिणामों को व्यक्तिगत रूप से ट्रैक किया जाना चाहिए।
यदि कोई गेटवे संशोधित मेल पर दोबारा हस्ताक्षर करता है, तो उसके नए डोमेन का निरीक्षण करें। पासिंग गेटवे हस्ताक्षर स्वचालित रूप से मूल लेखक के प्रमाणीकरण की मरम्मत नहीं करता है। जहां संगठन अंतिम हस्ताक्षर चरण को नियंत्रित करता है, सत्यापित करें कि वह एक अनुमोदित पहचान के तहत इच्छित पोस्ट-प्रोसेसिंग सामग्री पर हस्ताक्षर करता है। किसी स्पष्ट रूप से अनावश्यक हस्ताक्षर को उसके परिचालन उद्देश्य की जांच किए बिना न हटाएं।
संदेश-स्तरीय निष्कर्ष के साथ समापन करें
सभी प्रासंगिक DKIM हस्ताक्षरों का आकलन करने के बाद, SPF के प्रमाणित पहचानकर्ता और संरेखण का अलग से मूल्यांकन करें। यदि कोई लागू DMARC नीति नहीं मिलती है, तो स्थिति को सामान्य DMARC विफलता के रूप में पुनः लेबल न करें। प्रमाणीकरण परिणामों को प्राप्तकर्ता के अंतिम स्वभाव से अलग करें, जो अतिरिक्त नीति या फ़िल्टरिंग को प्रतिबिंबित कर सकता है।
मूल संदेश, विश्वसनीय परिणाम स्रोत, प्रति-हस्ताक्षर विश्लेषण और अंतिम निष्कर्ष का कारण अपने पास रखें। यदि रिपोर्टिंग टूल हस्ताक्षरों को अलग-अलग तरीके से एकत्रित करते हैं, तो अलग-अलग सारांशों को प्रोटोकॉल विरोधाभास के रूप में मानने से पहले उनके कच्चे साक्ष्य की तुलना करें। उपयोगी परिणाम एक समझाने योग्य पहचान पथ है, न कि केवल बड़ी संख्या में हरे संकेतक।
पहचानों को मिलाए बिना उदाहरण रिकॉर्ड करें
उपरोक्त सिंथेटिक संदेश के लिए, प्रति हस्ताक्षर एक पंक्ति रखें:
- ए: example.net ; सत्यापन पास; संरेखण संख्या; DMARC नंबर में DKIM योगदान।
- बी: example.com ; सत्यापन विफल; डोमेन मेल खाएगा लेकिन प्रमाणित नहीं है; DKIM योगदान संख्या
- सी: example.com ; सत्यापन पास; संरेखण हाँ; DKIM योगदान हाँ।
सी मौजूद होने से पहले, संरेखित SPF की कथित अनुपस्थिति कोई गुजरने का रास्ता नहीं छोड़ती है। सी उपस्थिति के साथ, DMARC अनुमानित लागू नीति के तहत गुजरता है। किसी वास्तविक रिसीवर परिणाम या इनबॉक्स-प्लेसमेंट परिणाम का दावा नहीं किया जाता है।
संबंधित पढ़ना
DKIM संरेखण: दृश्यमान डोमेन से d= की तुलना करें · आरएसए और एड25519 DKIM हस्ताक्षर: परिनियोजन प्रश्न और अंतरसंचालनीयता.