अग्रेषित किया गया संदेश वैध हो सकता है और फिर भी विफल हो सकता है DMARC. अंतिम प्राप्तकर्ता सर्वर वास्तव में प्राप्त कनेक्शन और संदेश का मूल्यांकन करता है, न कि प्रेषक के इरादे या पहले डिलीवरी के परिणाम का। उपयोगी प्रश्न यह है कि कौन सी प्रमाणित पहचान फ़ॉरवर्डिंग हॉप के बाद भी दृश्यमान डोमेन के साथ संरेखित होती है। किसी नीति अपवाद पर विचार करने से पहले उस अंतर को सुरक्षित रखें।
मार्ग का पुनर्निर्माण करें
सन्दर्भ: RFC 8601 §1.2, RFC 8601 §5.
मूल कच्चा संदेश, अग्रेषित कच्चा संदेश, टाइमस्टैम्प, अग्रेषण कॉन्फ़िगरेशन और रिसीवर-जनरेटेड प्रमाणीकरण परिणाम एकत्र करें। SMTP लिफाफे को दृश्य हेडर से अलग रखें: एक सहेजा गया संदेश जरूरी नहीं कि हर हॉप पर इस्तेमाल किए गए लिफाफे को संरक्षित रखे। उन हॉप्स के लिए जिम्मेदार सिस्टम से ट्रेस साक्ष्य प्राप्त करें। प्रेषक-सम्मिलित के साथ व्यवहार न करें Authentication-Results एक विश्वसनीय रिसीवर अवलोकन के रूप में फ़ील्ड। RFC 8601 उस सीमा की व्याख्या करता है।
मूल प्रेषक, मध्यस्थ और अंतिम प्राप्तकर्ता को लेबल करें। फिर कनेक्टिंग आईपी, लिफ़ाफ़ा डोमेन, दृश्यमान डोमेन और प्रत्येक को रिकॉर्ड करें DKIM प्रत्येक लागू मूल्यांकन बिंदु पर डोमेन पर हस्ताक्षर करना। एक रूट आरेख केवल तभी उपयोगी होता है जब यह देखे गए स्थानान्तरण को दर्शाता है। एक अज्ञात हॉप एक कल्पित प्रमाणीकरण परिणाम निर्दिष्ट होने के बजाय अज्ञात रहता है।
बचे हुए रास्ते को पहचानें
सन्दर्भ: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF एक लिफ़ाफ़ा पहचान के विरुद्ध कनेक्टिंग सिस्टम का मूल्यांकन करता है। अंतिम रिसीवर पर, एक अग्रेषण सर्वर मूल लिफ़ाफ़ा डोमेन के प्राधिकरण से बाहर हो सकता है। एक संरक्षित DKIM हस्ताक्षर अभी भी एक संरेखित पास प्रदान कर सकता है क्योंकि सत्यापन हस्ताक्षरित संदेश और हस्ताक्षर डोमेन से जुड़ा हुआ है। सामग्री पुनर्लेखन उस शेष पथ को हटा सकता है। DMARC एक संरेखित प्रमाणित परिणाम की आवश्यकता है, न कि केवल किसी SPF या DKIM पास की। RFC 9989, RFC 7208 और RFC 6376 इन अलग-अलग जाँचों को परिभाषित करें।
एक एसआरएस-पुनर्लिखित लिफाफा मूल लेखक के डोमेन के साथ संरेखित किए बिना फारवर्डर के डोमेन के लिए SPF पारित कर सकता है। उसी फारवर्डर के नए हस्ताक्षर में समान सीमा होती है। न तो अवलोकन का मतलब है कि संदेश आवश्यक रूप से दुर्भावनापूर्ण है, और न ही लेखक के संरेखित प्रमाणीकरण को स्वचालित रूप से सुधारता है।
परिबद्ध उदाहरण चलाएँ
सन्दर्भ: RFC 9989 §4.4, RFC 9989 §5.3.5.
बरकरार रखे गए सख्त-संरेखण मॉडल का SMTP कैप्चर से अलग से निरीक्षण किया जा सकता है। डायरेक्ट केस संरेखित SPF और DKIM पास की आपूर्ति करता है। संरक्षित-अग्रेषण मामला SPF विफलता और संरेखित DKIM सफलता प्रदान करता है, इसलिए सख्त-संरेखण मॉडल अभी भी पास होता है। फ़ुटर केस दोनों पथों और विफलताओं के लिए विफलता प्रदान करता है। SRS मामले इस बात को अलग करते हैं कि कैसे एक सफल लेकिन असंरेखित SPF पहचान उस तर्क को नहीं बदलती है।
वे बूलियन जानबूझकर किए गए इनपुट हैं, न कि लाइव DNS क्वेरीज़ या क्रिप्टोग्राफ़िक हस्ताक्षर सत्यापन के परिणाम। उत्पन्न कच्चे संदेश सिंथेटिक हैं और कभी प्राप्त नहीं हुए। वे एक नियंत्रित शारीरिक परिवर्तन का वर्णन करते हैं लेकिन विश्वसनीय परिणामों के साथ वास्तविक मूल और अग्रेषित संदेशों की आवश्यकता को पूरा नहीं करते हैं। नीचे रखा गया SMTP प्रयोगशाला अनुभाग ऐतिहासिक स्थानीय रूप से प्राप्त साक्ष्य प्रदान करता है; बाहरी उत्पादन साक्ष्य खुले रहते हैं।
संकीर्ण कारण की मरम्मत करें
सन्दर्भ: RFC 9989 §7.4.
जहां संभव हो, मध्यस्थ से हस्ताक्षरित सामग्री को संरक्षित करने के लिए कहें, और मूल सेवा में हस्ताक्षर प्लेसमेंट को सत्यापित करें। व्यापक डोमेन नीति बदलने से पहले एक प्रतिनिधि अधिकृत मार्ग का परीक्षण करें। यदि कोई रिसीवर स्थानीय अपवाद लागू करता है, तो उसका दायरा, स्वामी, समाप्ति और स्वतंत्र फ़िल्टरिंग आवश्यकताओं को बनाए रखें। अपवाद के तहत डिलीवरी DMARC पास नहीं है।
जांच तभी बंद करें जब खोया हुआ रास्ता, किए गए परिवर्तन और प्राप्तकर्ता के देखे गए निर्णय को अलग से प्रलेखित किया जाए। आवधिक और कम मात्रा वाले वर्कफ़्लो के साथ-साथ स्पष्ट दैनिक पथ का पुनः परीक्षण करें। केवल एक अग्रेषण दोष को छिपाने के लिए निगरानी का एक संगठन-व्यापी कदम मध्यस्थ को ठीक किए बिना असंबंधित मेल के लिए सुरक्षा को कम कर सकता है।
SMTP प्रयोगशाला साक्ष्य को सुरक्षित रखा गया
सन्दर्भ: RFC 7208 §4, RFC 6376 §6.
7 नवंबर 2026 को 21:29:16 यूटीसी पर बरकरार रखा गया कैप्चर रिकॉर्ड करता है कि लूपबैक रिसीवर ने वास्तविक SMTP पर प्रत्यक्ष, संरक्षित-अग्रेषण और पाद लेख-संशोधित संदेशों को कैप्चर किया। इसने मूल कनेक्शन के लिए पीयर 127.0.0.2 और अग्रेषण कनेक्शन के लिए 127.0.0.3 देखा। pyspf ने पृथक फिक्स्चर DNS के विरुद्ध उन IP का मूल्यांकन किया; dkimpy ने वास्तविक RSA हस्ताक्षरों का सत्यापन किया। प्रत्यक्ष मामला दोनों जांचों में उत्तीर्ण हुआ, संरक्षित अग्रेषित प्रतिलिपि SPF विफल रही लेकिन संरेखित DKIM में उत्तीर्ण हुई, और पाद लेख प्रतिलिपि दोनों में विफल रही। रिसीवर-जनरेटेड Authentication-Results और पूर्ण कच्चे संदेश लिफाफे और SHA-256 मानों के साथ एक साथ रखे जाते हैं।
इस संशोधन के लिए ऐतिहासिक धावक और बनाए गए संदेशों का निरीक्षण किया गया; नेटवर्क प्रयोग दोबारा नहीं चलाया गया. इसके मूल निष्पादन में केवल लूपबैक का उपयोग किया गया और कोई इंटरनेट मेल नहीं भेजा गया। इसका रिसीवर अपने स्वयं के चेक से Authentication-Results बनाता है, जिससे उन क्षेत्रों को प्रयोगशाला उद्गम के बारे में पता चलता है। प्रमाणीकरण परिणाम और स्वभाव अलग-अलग रहते हैं: सभी छह SMTP नमूने स्पष्ट कैप्चर नीति के तहत 250 प्राप्त करते हैं, जिसमें विफल नमूने भी शामिल हैं। विश्वास की सीमा यह नियंत्रित प्रयोगशाला है, उत्पादन मेलबॉक्स प्रदाता नहीं। DNS एडाप्टर सार्वजनिक DNS क्वेरी करने के बजाय बरकरार फिक्सचर उत्तर प्रदान करता है, और DMARC मूल्यांकनकर्ता केवल सख्त डोमेन समानता का उपयोग करता है। पूर्ण संगठनात्मक-डोमेन खोज, उत्पादन नीति विश्लेषण और लाइव परिनियोजन परिणाम अप्रयुक्त रहते हैं।