A DKIM La diagnostica senza chiave generalmente significa che il verificatore non è riuscito a trovare la chiave di verifica richiesta per una firma. Il punto di partenza utile è l'effettività del messaggio selettore e firmare il dominio. Indovinare un selettore comune o interrogare il dominio Da visibile può portare a una risposta perfettamente accurata alla domanda DNS sbagliata.
Conserva il messaggio ricevuto originale e il suo risultato di autenticazione attendibile. Registrare il tempo di osservazione, perché la chiave potrebbe essere cambiata dalla consegna. Quindi indaga sulla firma esatta indicata nel risultato; i messaggi possono contenere diverse firme con nomi e risultati di ricerca diversi.
Deriva la domanda DNS esatta
Leggi s e d da DKIM-Signature. Con s=campaign7 e d=mailer.example, la ricerca è campaign7._domainkey.mailer.example . Il selettore non è un nome di provider universale e non è necessario che il dominio della firma sia lo stesso del dominio Da visibile. RFC 6376 §3.1, RFC 6376 §3.5 E RFC 6376 §3.6.2.1 definire questi elementi.
Interrogare il nome e il tipo di record previsti dalla configurazione supportata. Sotto RFC 1034 §3.6.2, se il servizio utilizza a CNAME, seguilo fino ai dati di verifica e cattura il target intermedio. Controlla gli errori dell'editor DNS come un suffisso aggiunto due volte, un record pubblicato nella zona sbagliata o un selettore copiato da un inquilino diverso.
Distinguere l'assenza dall'indisponibilità
Una risposta negativa che non stabilisce alcuna chiave corrispondente è diversa da una query che scade. RFC 6376 §6.1.2 richiede PERMFAIL per una chiave assente e consente TEMPFAIL quando la query della chiave non risponde. Questi sono i risultati dell'elaborazione del verificatore; l'esatta etichetta visualizzata in un prodotto diagnostico può differire.
Cattura il codice di risposta DNS e rispondi, non solo un indicatore rosso. Confrontare le risposte autorevoli con la visione ricorsiva rilevante per il destinatario inadempiente dove sono disponibili prove. Una ricerca successiva effettuata con successo dal tuo laptop non dimostra che la chiave fosse raggiungibile al momento della valutazione originale.
Utilizzare un albero diagnostico a tre rami
Innanzitutto, se il messaggio non contiene alcuna DKIM-Signature , esamina la configurazione della firma anziché una ricerca tramite selettore. Non esiste alcuna coppia s e d specifica del messaggio da recuperare. In secondo luogo, se esiste una firma e la relativa chiave è assente, ispezionare la cronologia delle pubblicazioni, delle migrazioni e dei pensionamenti. In terzo luogo, se la chiave è disponibile ma il file hash del corpo o la firma non riesce, sposta al contenuto, corrispondenza della chiave o controlli crittografici.
Caso illustrativo: un messaggio nomina il selettore old7, mentre DNS contiene solo new8. La pubblicazione corretta di new8 non può verificare la firma old7. Se old7 è stato ritirato intenzionalmente, l'errore potrebbe essere previsto per la posta ritardata o archiviata. Se old7 è stato rimosso accidentalmente e la sua chiave è ancora affidabile, il ripristino dei dati di verifica corretti potrebbe rappresentare una riparazione approvata appropriata. Si tratta di scenari diagnostici, non di test del tenant eseguiti.
Controllare la validità della chiave dopo il recupero
La ricerca di una risposta TXT non completa la verifica; RFC 6376 §3.6.1 E RFC 6376 §6.1.2 definire la sintassi chiave e la convalida. Una chiave dal formato errato, un valore p vuoto che indica una revoca o un materiale della chiave incompatibile non costituiscono una chiave di verifica utilizzabile. Sotto RFC 4592 §3.3.3, un carattere jolly registrazione TXT può anche produrre una risposta irrilevante per DKIM . Non rietichettare ogni risposta inutilizzabile come selettore mancante.
Utilizzare l'esatto valore corrente del record del provider o un backup di configurazione noto e autorizzato. Non generare mai una chiave pubblica casuale per soddisfare la ricerca: non corrisponderà alla chiave privata che ha creato la firma. Evitare di sostituire i record in una ricerca condivisa senza esaminare altri mittenti e messaggi ritardati.
Verificare la correzione con nuove prove
Dopo una riparazione autorizzata, controlla DNS e invia nuova posta controllata attraverso il percorso interessato. Conserva il risultato ricevuto, l'identità della firma e allineamento valutazione. Se il campione originale ora verifica, registralo come un ricontrollo successivo anziché riscrivere il risultato storico del ricevitore.
Chiudere l'incidente con il nome mancante, la causa, la dipendenza ripristinata e la misura di prevenzione. Un inventario di selezione e una checklist di pensionamento riducono la ricorrenza in modo più efficace rispetto all'aggiunta ripetuta di record ogni volta che una pedina riporta rosso.
Conserva una conclusione limitata
Per old7 rispetto a new8, conservare la ricerca della vecchia firma anziché copiare il selettore corrente nel record dell'incidente. Una chiave old7 assente, un timeout e una revoca di p vuota sono osservazioni diverse. Un successivo ricontrollo riuscito deve mantenere il suo orario successivo. Per lo scenario didattico non è stata eseguita alcuna riparazione o verifica della firma.