転送は自動的に中断されません DKIM。対象となるメッセージのコンテンツを保存するフォワーダーは、元の署名を有効なままにしておくことができます。対象となるヘッダーまたは本文のコンテンツを書き換えるフォワーダーは、それを無効にする可能性があります。すべての間接配信を 1 つの障害モードとして扱うのではなく、転送サービスが実際に何を行うかを診断します。
アイデンティティと変換を個別に追跡する
最終レシーバーでは、 SPF評価 接続システムと関連するSMTP ID。メッセージ本文が変更されていない場合でも、転送により接続 IP が変更される可能性があります。代わりに、 DKIM対象のメッセージの内容を署名ドメインのキーと照合して検証します。したがって、これらのメカニズムは、同じ転送メッセージに対して分岐する可能性があります。
表示されている From ドメイン、各DKIM署名ドメインを記録します。 セレクタ その結果、エンベロープ ID と転送ホップが決まります。 DMARC 作成者のドメインに合わせた認証パスを渡す必要があります。整列した状態 DKIM署名 転送が中断された場合、適用可能なポリシーに基づいてそのパスを提供できます。 SPFで指定されているように、 RFC 9989 §4.4.1。無関係な転送ドメインに新しく追加された署名は、自動的には調整されません。
直接サンプルと転送サンプルを比較する
制御されたメッセージを直接テスト受信箱に送信し、転送ルートを介して別のテスト受信箱に送信します。生のメッセージと信頼できる受信者の結果を保存します。固有のテスト マーカーを使用すると、被験者のみに依存せずにサンプルを関連付けることができます。レンダリングされた本体から同等であると推測しないでください。
h で選択した本文、件名、その他のフィールドへの変更を検査します。違いを解釈する前に、c タグと任意の l タグを確認してください。標準 正規化 は特定の書式変更を許容できますが、実質的な書き換えによって署名付き表現が変更される可能性があります。追加されたトランスポート ヘッダーは、それらの新しい出現をカバーしなかった署名を本質的に無効にするものではありません。ヘッダーの繰り返し選択とオーバーサインが問題になる可能性があります RFC 6376 §5.4.2.
2 つのパスを介して作業する
例示的なパス A は、対象のコンテンツを変更せずにメッセージを転送します。元の署名は有効なままにすることができます。パス B では、署名された本文に警告バナーが追加され、元の本文署名が失敗します。接続は両方のパスで同一である可能性があるため、 SPF観察だけではDKIM違いを説明できません。
フォワーダーはまた、 封筒の差出人 独自のSPF認証を改善します。これにより、壊れたDKIM署名が復元されたり、必ずしもSPFが作成されるわけではありません。 アライメント 元の表示されている From ドメインを使用します。どの ID がSPFに合格したか、どの署名がDKIMに合格したか、どちらかのパスが一致しているかどうかという 3 つの質問を分けてください。
範囲を限定した救済策を選択する
コンテンツの保存がサービスのセキュリティ義務と互換性がある場合は、不必要な変更を避けるためにサポートされている設定を確認してください。変更が必要な場合は、サービスの文書化された署名と間接メールの処理を評価してください。症状を解消するために、任意のフォワーダーに署名キーを付与したり、 SPFで広く承認したりしないでください。
管理受信者は、間接メールに対して追加の信頼できる証拠またはローカル ポリシーを使用する場合がありますが、それは別の受け入れ決定です。元の署名の復元などの受諾を報告しないでください。ビジネス要件と例外所有者を技術的な結果とともに保持します。
ルート固有の証明で終了します
変更後、プレーン テキスト、HTML、添付ファイルに対して直接テストと転送テストを繰り返します。どの元の署名が存続するか、新しい署名が出現するかどうか、最終的なDMARCと配信結果を記録します。送信側でDNSを変更しなくても、後のバナーやスキャンの変更によって結果が変わる可能性があるため、回帰テストでは転送ルートを維持してください。
2 つの仮説的なメッセージ レベルの結果を読む
適用可能なDMARCポリシーと作成者ドメインexample.comを想定します。
- 保存されたパス: SPF転送後に失敗しますが、元のd=example.com署名は引き続き検証されます。その正確に調整されたDKIM ID がDMARCパスを提供します。
- 変更されたパス: 元のDKIM署名は失敗します。新しい受け渡し署名とSPF ID のみがforwarder.example.netに属します。ドメインがexample.comと無関係であると仮定すると、どちらもアライメントを提供しないため、 DMARC失敗します。受信者は引き続き、個別のローカル処理決定を行うことができます。
新しい署名のパスを古い署名のドメインとマージしないでください。これらのケースは、次の状況を示しています。 RFC 9989 §5.3.5;これらは受信者の結果を取得したり、すべての転送サービスについて保証したりするものではありません。