Pesan yang diteruskan bisa saja sah dan tetap gagal DMARC. Server penerima terakhir mengevaluasi koneksi dan pesan yang sebenarnya diterimanya, bukan maksud pengirim atau hasil pengiriman sebelumnya. Pertanyaan yang berguna adalah identitas terotentikasi mana yang masih selaras dengan domain Dari yang terlihat setelah lompatan penerusan. Pertahankan perbedaan tersebut sebelum mempertimbangkan pengecualian kebijakan.
Rekonstruksi rutenya
Referensi: RFC 8601 §1.2, RFC 8601 §5.
Kumpulkan pesan mentah asli, pesan mentah yang diteruskan, stempel waktu, konfigurasi penerusan, dan hasil autentikasi yang dibuat penerima. Simpan amplop SMTP secara terpisah dari header yang terlihat: pesan yang disimpan tidak serta merta menyimpan amplop yang digunakan pada setiap hop. Dapatkan bukti jejak dari sistem yang bertanggung jawab atas lompatan tersebut. Jangan perlakukan pengirim yang dimasukkan Authentication-Results lapangan sebagai penerima pengamatan yang terpercaya. RFC 8601 menjelaskan batas itu.
Beri label pengirim asli, perantara, dan penerima akhir. Kemudian catat IP penghubung, domain amplop, domain Dari yang terlihat dan semuanya DKIM penandatanganan domain di setiap titik evaluasi yang berlaku. Diagram rute berguna hanya jika diagram tersebut mencerminkan perpindahan yang diamati. Hop yang tidak diketahui tetap tidak diketahui alih-alih diberi asumsi hasil autentikasi.
Identifikasi jalur yang bertahan
Referensi: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF menilai sistem penghubung terhadap identitas amplop. Pada penerima akhir, server penerusan mungkin berada di luar otorisasi domain amplop asli. Sebuah diawetkan tanda tangan DKIM masih dapat memberikan izin yang selaras karena verifikasi terkait dengan pesan yang ditandatangani dan domain penandatanganan. Penulisan ulang konten dapat menghapus jalur yang tersisa tersebut. DMARC memerlukan hasil autentikasi yang selaras, bukan sekadar izin SPF atau DKIM . RFC 9989, RFC 7208 Dan RFC 6376 tentukan pemeriksaan terpisah ini.
Amplop yang ditulis ulang SRS mungkin meneruskan SPF untuk domain penerus tanpa menyelaraskan dengan domain Dari penulis asli. Tanda tangan baru dari pengirim yang sama memiliki batasan serupa. Tidak ada observasi yang berarti bahwa pesan tersebut memang berbahaya, dan tidak ada yang secara otomatis memperbaiki autentikasi yang diselaraskan pembuatnya.
Jalankan contoh yang dibatasi
Referensi: RFC 9989 §4.4, RFC 9989 §5.3.5.
Model penyelarasan ketat yang dipertahankan dapat diperiksa secara terpisah dari pengambilan SMTP . Kasus langsung memberikan izin SPF dan DKIM yang selaras. Kasus penerusan yang dipertahankan memberikan kegagalan SPF dan keberhasilan DKIM yang selaras, sehingga model penyelarasan yang ketat tetap lolos. Kasus footer menyediakan kegagalan untuk kedua jalur dan gagal. Itu SRS kasus-kasus mengisolasi bagaimana identitas SPF yang berhasil namun tidak selaras tidak mengubah alasan tersebut.
Boolean tersebut merupakan masukan yang disengaja, bukan hasil kueri DNS langsung atau verifikasi tanda tangan kriptografi. Pesan mentah yang dihasilkan bersifat sintetis dan tidak pernah diterima. Mereka menggambarkan perubahan tubuh yang terkendali tetapi tidak memenuhi persyaratan untuk pesan asli dan diteruskan dengan hasil yang dapat dipercaya. Bagian laboratorium SMTP yang disimpan di bawah ini menyediakan bukti historis yang diterima secara lokal; bukti produksi eksternal tetap terbuka.
Perbaiki penyebab sempitnya
Referensi: RFC 9989 §7.4.
Minta perantara untuk menyimpan konten yang ditandatangani jika memungkinkan, dan verifikasi penempatan penandatanganan di layanan asal. Uji perwakilan rute resmi sebelum mengubah kebijakan domain luas. Jika penerima menerapkan pengecualian lokal, pertahankan cakupan, pemilik, masa berlaku, dan persyaratan pemfilteran independennya. Pengiriman dengan pengecualian bukan merupakan tiket DMARC .
Tutup penyelidikan hanya jika jalur yang hilang, perubahan yang dilakukan, dan keputusan penerima yang diamati didokumentasikan secara terpisah. Uji ulang alur kerja berkala dan bervolume rendah serta jalur harian yang jelas. Peralihan seluruh organisasi ke pemantauan hanya untuk menyembunyikan satu cacat penerusan dapat mengurangi perlindungan untuk email yang tidak terkait tanpa memperbaiki perantaranya.
Bukti laboratorium SMTP yang disimpan
Referensi: RFC 7208 §4, RFC 6376 §6.
Tangkapan yang disimpan tertanggal 7 November 2026 pukul 21:29:16 UTC mencatat bahwa penerima loopback menangkap pesan langsung, penerusan yang disimpan, dan pesan yang dimodifikasi footer melalui SMTP sebenarnya. Ia mengamati rekan 127.0.0.2 untuk koneksi asal dan 127.0.0.3 untuk koneksi penerusan. pyspf mengevaluasi IP tersebut terhadap DNS perlengkapan yang terisolasi; dkimpy memverifikasi tanda tangan RSA yang sebenarnya. Kasus langsung lolos kedua pemeriksaan, salinan penerusan yang disimpan gagal SPF tetapi lolos DKIM yang selaras, dan salinan footer gagal keduanya. Authentication-Results yang dihasilkan penerima dan pesan mentah lengkap disimpan bersama dengan amplop dan nilai SHA-256.
Pelari sejarah dan pesan yang disimpan diperiksa untuk revisi ini; eksperimen jaringan tidak dijalankan kembali. Eksekusi aslinya hanya menggunakan loopback dan tidak mengirimkan email Internet. Penerimanya membuat Authentication-Results dari pemeriksaannya sendiri, sehingga bidang tersebut diketahui asal laboratoriumnya. Hasil autentikasi dan disposisi tetap terpisah: keenam sampel SMTP menerima 250 berdasarkan kebijakan pengambilan eksplisit, termasuk sampel yang gagal. Batas kepercayaannya adalah laboratorium terkontrol ini, bukan penyedia kotak surat produksi. Adaptor DNS menyediakan jawaban perlengkapan yang dipertahankan daripada menanyakan DNS publik, dan evaluator DMARC hanya menggunakan kesetaraan domain yang ketat. Penemuan domain organisasi secara penuh, penguraian kebijakan produksi, dan hasil penerapan langsung masih belum teruji.