転送されたメッセージは正当であっても失敗する可能性があります DMARC。最後に受信したサーバーは、送信者の意図や以前の配信の結果ではなく、実際に受信した接続とメッセージを評価します。有益な質問は、どの認証済み ID が転送ホップ後も表示されている From ドメインと一致しているかということです。ポリシーの例外を検討する前に、その区別を保持してください。
ルートを再構築する
参考文献: RFC 8601 §1.2, RFC 8601 §5.
元の生のメッセージ、転送された生のメッセージ、タイムスタンプ、転送設定、および受信者が生成した認証結果を収集します。 SMTPエンベロープは、表示されるヘッダーとは別に保管してください。保存されたメッセージは、必ずしもすべてのホップで使用されるエンベロープを保持するとは限りません。これらのホップを担当するシステムからトレース証拠を取得します。送信者が挿入したものは扱わない Authentication-Results フィールドを信頼できる受信者の観測として扱います。 RFC 8601 その境界を説明します。
元の送信者、中間者、最終受信者にラベルを付けます。次に、接続 IP、エンベロープ ドメイン、表示される From ドメイン、およびすべてのドメインを記録します。 DKIM 該当する各評価ポイントでドメインに署名します。ルート図は、観察された移動を反映している場合にのみ役立ちます。未知のホップには、想定される認証結果が割り当てられるのではなく、未知のままになります。
生き残ったパスを特定する
参考文献: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF エンベロープ ID に対して接続システムを評価します。最終受信側では、転送サーバーが元のエンベロープ ドメインの承認の外にある可能性があります。保存された DKIM署名 検証は署名されたメッセージと署名ドメインに関連付けられているため、調整されたパスを提供できます。コンテンツを書き換えると、残りのパスが削除される可能性があります。 DMARCは、単なるSPFまたはDKIMパスではなく、調整された認証結果が必要です。 RFC 9989, RFC 7208 そして RFC 6376 これらの個別のチェックを定義します。
SRS で書き換えられたエンベロープは、元の作成者の From ドメインと一致せずに、フォワーダーのドメインのSPFを通過する可能性があります。同じフォワーダーからの新しい署名にも同様の制限があります。どちらの観察も、メッセージが必ずしも悪意のあるものであることを意味するものではなく、作成者の調整された認証を自動的に修復するものでもありません。
制限された例を実行する
参考文献: RFC 9989 §4.4, RFC 9989 §5.3.5.
保持された厳密な調整モデルは、 SMTPキャプチャとは別に検査できます。直接の場合は、調整されたSPFとDKIMパスを提供します。保存転送の場合はSPFが失敗し、調整されたDKIM成功するため、厳密な調整モデルは引き続き合格します。フッターケースは、パスと失敗の両方の失敗を示します。の SRS ケースは、成功したが調整されていないSPF ID がどのようにその推論を変更しないかを分離します。
これらのブール値は意図的に入力されたものであり、ライブDNSクエリや暗号署名検証の結果ではありません。生成された生のメッセージは合成されたものであり、受信されたことはありません。これらは、制御された本文の変更を示していますが、信頼できる結果を伴う実際のオリジナルおよび転送メッセージの要件を満たしていません。以下の保持されているSMTPラボのセクションでは、ローカルで受け取った歴史的な証拠を提供します。外部の生産証拠は未解決のままです。
狭い原因を修復する
参考文献: RFC 9989 §7.4.
可能な場合は署名されたコンテンツを保存し、元のサービスでの署名の配置を確認するように仲介者に依頼します。広範なドメイン ポリシーを変更する前に、代表的な承認済みルートをテストします。受信者がローカル例外を適用する場合、そのスコープ、所有者、有効期限、および独立したフィルタリング要件を保持します。例外に基づく配信はDMARCパスではありません。
パスの喪失、行われた変更、および監視された受信者の決定が個別に文書化された場合にのみ、調査を終了します。定期的で少量のワークフローと、明らかな毎日のパスを再テストします。 1 つの転送欠陥を隠すためだけに組織全体で監視に移行すると、仲介者を修正せずに無関係なメールの保護が低下する可能性があります。
保持されているSMTP研究所の証拠
参考文献: RFC 7208 §4, RFC 6376 §6.
2026 年 11 月 7 日21:29:16 UTC の保持されたキャプチャには、ループバック受信者が実際のSMTP経由で直接、保存転送およびフッター変更されたメッセージをキャプチャしたことが記録されています。発信元接続のピア127.0.0.2と転送接続のピア127.0.0.3を監視しました。 pyspf は、隔離されたフィクスチャDNSに対してこれらの IP を評価しました。 dkimpy は実際の RSA 署名を検証しました。直接のケースは両方のチェックに合格し、保存された転送コピーはSPFは合格しましたが、アライメントされたDKIMには合格しました。フッター コピーは両方とも失敗しました。受信者が生成したAuthentication-Resultsと完全な生メッセージは、エンベロープと SHA-256 値とともに保持されます。
このリビジョンでは、履歴ランナーと保持されたメッセージが検査されました。ネットワーク実験は再実行されませんでした。元の実行ではループバックのみが使用され、インターネット メールは送信されませんでした。その受信側は、自身のチェックからAuthentication-Resultsを作成し、それらのフィールドに既知の実験室の出自を与えます。認証の結果と処理は分離されたままです。6 つのSMTPサンプルはすべて、失敗したサンプルを含め、明示的なキャプチャ ポリシーに基づいて 250 を受け取ります。信頼境界は、運用メールボックス プロバイダーではなく、この管理されたラボです。 DNSアダプターは、パブリックDNSにクエリを実行するのではなく、保持されたフィクスチャの応答を提供し、 DMARCエバリュエーターは厳密なドメインの同等性のみを使用します。完全な組織ドメインの検出、運用ポリシーの解析、およびライブ デプロイメントの結果はまだテストされていません。