Penerusan tidak otomatis terputus DKIM. Pengirim yang mempertahankan isi pesan tercakup dapat membiarkan tanda tangan aslinya tetap valid. Forwarder yang menulis ulang header atau isi isi yang tercakup dapat membuatnya tidak valid. Diagnosis apa yang sebenarnya dilakukan layanan penerusan daripada memperlakukan semua pengiriman tidak langsung sebagai satu mode kegagalan.
Telusuri identitas dan transformasi secara terpisah
Pada penerima terakhir, SPF mengevaluasi sistem penghubung dan identitas SMTP yang relevan. Penerusan dapat mengubah IP penghubung meskipun isi pesan tidak disentuh. DKIM malah memverifikasi konten pesan yang tercakup terhadap kunci domain penandatanganan. Oleh karena itu, mekanisme ini dapat berbeda pada pesan yang diteruskan yang sama.
Catat domain Dari yang terlihat, setiap domain penandatanganan DKIM , pemilih dan hasilnya, identitas amplop dan hop penerusan. DMARC memerlukan jalur autentikasi yang lewat yang selaras dengan domain penulis. Sejajar utuh tanda tangan DKIM dapat menyediakan jalur tersebut berdasarkan kebijakan yang berlaku ketika penerusan gangguan SPF, sebagaimana ditentukan dalam RFC 9989 §4.4.1. Tanda tangan yang baru ditambahkan di bawah domain penerusan yang tidak terkait tidak diselaraskan secara otomatis.
Bandingkan sampel langsung dan sampel yang diteruskan
Kirim pesan terkontrol ke kotak masuk pengujian langsung dan melalui rute penerusan ke kotak masuk pengujian lainnya. Pertahankan pesan mentah dan hasil penerima tepercaya. Gunakan penanda tes yang unik sehingga sampel dapat dikaitkan tanpa hanya bergantung pada Subjek. Jangan menyimpulkan kesetaraan dari tubuh yang diberikan.
Periksa perubahan pada isi, Subjek dan bidang lain yang dipilih di h. Periksa c dan tag l apa pun sebelum menafsirkan perbedaan. Standar kanonikalisasi dapat mentolerir perubahan format tertentu, sedangkan penulisan ulang substantif dapat mengubah representasi yang ditandatangani. Header transport yang ditambahkan tidak secara inheren membatalkan tanda tangan yang tidak mencakup kejadian baru tersebut; pemilihan dan penyerahan tajuk yang berulang dapat menjadi masalah RFC 6376 §5.4.2.
Bekerja melalui dua jalur
Jalur ilustratif A meneruskan pesan tanpa mengubah konten yang dicakup. Tanda tangan asli bisa tetap sah. Jalur B menambahkan spanduk peringatan ke badan yang ditandatangani, menyebabkan tanda tangan seluruh badan asli gagal. Koneksinya mungkin identik pada kedua jalur, sehingga pengamatan SPF saja tidak dapat menjelaskan perbedaan DKIM .
Pengirim mungkin juga menulis ulang pengirim amplop untuk meningkatkan otorisasi SPF -nya sendiri. Itu tidak memulihkan tanda tangan DKIM yang rusak atau menciptakan SPF penyelarasan dengan domain Dari asli yang terlihat. Pisahkan ketiga pertanyaan tersebut: identitas mana yang lolos SPF , tanda tangan mana yang lolos DKIM , dan apakah jalurnya selaras.
Pilih solusi yang tercakup
Jika pelestarian konten kompatibel dengan kewajiban keamanan layanan, tinjau pengaturan yang didukung untuk menghindari modifikasi yang tidak perlu. Jika diperlukan modifikasi, nilailah dokumentasi penandatanganan dan penanganan surat tidak langsung dari layanan tersebut. Jangan memberikan kunci penandatanganan Anda kepada penerusan sewenang-wenang atau memberikan otorisasi secara luas dalam SPF untuk menghilangkan gejala.
Penerima administratif dapat menggunakan bukti tambahan yang tepercaya atau kebijakan lokal untuk surat tidak langsung, namun itu merupakan keputusan penerimaan terpisah. Jangan laporkan penerimaan tersebut sebagai pemulihan tanda tangan aslinya. Pertahankan persyaratan bisnis dan pemilik pengecualian di samping hasil teknis.
Tutup dengan bukti khusus rute
Ulangi pengujian langsung versus penerusan untuk teks biasa, HTML, dan lampiran setelah perubahan. Catat tanda tangan asli mana yang bertahan, apakah tanda tangan baru muncul, dan DMARC akhir serta hasil pengiriman. Pertahankan rute penerusan dalam pengujian regresi karena perubahan spanduk atau pemindaian selanjutnya dapat mengubah hasilnya tanpa adanya perubahan DNS pada pengirim.
Bacalah dua hasil tingkat pesan hipotetis
Asumsikan kebijakan DMARC dan Domain Penulis yang berlaku example.com :
- Jalur yang dipertahankan: SPF gagal setelah penerusan, tetapi tanda tangan d=example.com asli masih terverifikasi. Identitas DKIM yang selaras ini memberikan izin DMARC .
- Jalur yang diubah: tanda tangan DKIM asli gagal; satu-satunya tanda tangan baru dan identitas SPF adalah milik forwarder.example.net . Dengan asumsi bahwa domain tidak terkait dengan example.com , tidak ada penyelarasan pasokan, sehingga DMARC gagal. Penerima masih dapat membuat keputusan penanganan lokal tersendiri.
Jangan gabungkan sandi tanda tangan baru dengan domain tanda tangan lama. Kasus-kasus ini menggambarkan kondisi di RFC 9989 §5.3.5; mereka tidak menangkap hasil penerima atau jaminan tentang setiap layanan penerusan.