여러 명이 보낸 메시지 DKIM 서명에는 서명별 평가가 필요합니다. 서명을 세거나 첫 번째 통과 결과를 선택하면 표시되는 작성자를 인증한 도메인이 잘못 식별될 수 있습니다. 아래에 RFC 9989 §4.4.1, 작성자 도메인과 일치하는 모든 전달 DKIM 인증 식별자는 다음에 대한 DKIM 경로를 제공할 수 있습니다. DMARC 통과하다.
각 결과의 동일성 유지
승인된 프로세스를 통해 원시 메시지를 내보냅니다. 표시되는 보낸 사람 도메인을 기록하고 각 서명에 대해 해당 도메인을 기록합니다. d= 도메인 서명, s= 선택자, a= 알고리즘과 관련성 정규화 설정. 신뢰할 수 있는 수신 시스템의 결과를 해당 서명과 연결합니다. 두 개의 서명은 동일한 도메인을 사용할 수 있지만 다른 선택기나 알고리즘을 사용할 수 있으므로 도메인만으로는 구별할 수 없습니다.
임의의 것을 신뢰하지 마십시오 Authentication-Results 필드는 단지 메시지에 나타나기 때문입니다. RFC 8601 §1.2 해당 필드의 신뢰 경계를 설명합니다. 조사 중인 평가의 수신 시스템에 따른 결과를 사용하고 증거를 내보낼 때 해당 소스를 보존하세요. 발신자는 오해의 소지가 있는 헤더 텍스트를 삽입할 수 있습니다. 복사된 상태 라벨은 독립적인 확인이 아닙니다.
검증과 조정을 별도의 결정으로 유지
확인은 서명이 서명 도메인에 대해 유효성을 검사하는지 여부를 설정합니다. 조정 인증된 도메인을 적용 가능한 DMARC 규칙에 따른 작성자 도메인과 비교합니다. 관련 없는 제공자의 서명은 DMARC 에 대한 작성자의 표시 도메인을 인증하지 않고도 완벽하게 유효할 수 있습니다.
엄격한 DKIM 정렬을 위해서는 도메인 이름 대소문자 비교를 통해 도메인이 정확히 일치해야 합니다. RFC 1035 §2.3.3. 완화된 정렬은 해당 DMARC 프로세스에 따라 결정된 조직-도메인 관계를 사용합니다. RFC 9989 §4.10.2 이 결정을 위해 DNS 트리 탐색을 정의합니다. 두 도메인 이름의 공통 단어를 기준으로 정렬을 결정하지 말고 모든 수신자가 최신 검색 구현을 채택했다고 조용히 가정하지 마십시오.
합성 메시지를 통해 작업
유효한 적용 가능한 DMARC 정책인 작성자 도메인을 가정합니다. example.com 그리고 정렬 안됨 SPF 통과하다. 서명 A는 다음을 사용합니다. d=example.net, 성공적으로 확인되었지만 정렬되지 않았습니다. 서명 B의 용도 d=example.com 다운스트림 콘텐츠 변경 후 확인에 실패합니다. 둘 다 정렬된 통과 DKIM ID를 제공하지 않으므로 이 조합은 DMARC 패스를 생성하지 않습니다.
이제 서명 C를 추가하십시오. d=example.com 성공적으로 확인되었습니다. 정확하게 정렬되므로 DMARC 패스에 DKIM 경로를 제공합니다. 관련되지 않은 통과 및 실패한 서명은 C를 자동으로 취소하지 않습니다. 이는 설명을 위한 평가이지 캡처된 고객 메시지 또는 보장된 사서함 배치에 대한 주장이 아닙니다.
조사 기록의 서명 식별자, 확인 결과, 정렬 결과 및 DMARC 에 대한 기여도 등 별도의 열에 예를 작성하세요. 개별 서명이 달성되지 않은 결과를 생성하기 위해 서명 A의 패스를 서명 B의 정렬 도메인과 결합하지 마십시오.
서명이 여러 개인 이유를 설명하세요.
병렬 알고리즘, 공급자의 운영 서명 및 중개자의 이후 서명은 모두 여러 결과를 생성할 수 있습니다. 이는 경로 및 서명자 구성이 이유를 확립할 때까지의 가설입니다. RFC 8463 §6 RSA 및 Ed25519 전환 서명; 결과는 개별적으로 추적되어야 합니다.
게이트웨이가 수정된 메일에 다시 서명하는 경우 새 도메인을 검사하세요. 통과하는 게이트웨이 서명은 원래 작성자의 인증을 자동으로 복구하지 않습니다. 조직이 최종 서명 단계를 제어하는 경우 승인된 ID로 의도한 후처리 콘텐츠에 서명하는지 확인합니다. 작동 목적을 확인하지 않고 명백히 중복된 서명을 제거하지 마십시오.
메시지 수준의 결론으로 마무리
모든 관련 DKIM 서명을 평가한 후 SPF 의 인증된 식별자와 정렬을 별도로 평가하세요. 적용 가능한 DMARC 정책이 발견되지 않은 경우 상황을 일반 DMARC 실패로 다시 지정하지 마십시오. 추가적인 정책이나 필터링을 반영할 수 있는 수신자의 최종 처리와 인증 결과를 구별합니다.
원본 메시지, 신뢰할 수 있는 결과 소스, 서명별 분석 및 최종 결론 이유를 유지합니다. 보고 도구가 서명을 다르게 집계하는 경우 서로 다른 요약을 프로토콜 모순으로 처리하기 전에 원시 증거를 비교하십시오. 유용한 결과는 단순히 더 많은 수의 녹색 지표가 아니라 설명 가능한 정체성 경로입니다.
신원을 혼합하지 않고 예시를 녹음하세요.
위의 합성 메시지의 경우 서명당 한 행씩 유지합니다.
- 답변: example.net ; 검증 통과; 정렬 번호; DMARC 번호에 대한 DKIM 기여.
- B: example.com ; 확인 실패; 도메인이 일치하지만 인증되지 않았습니다. DKIM 기부번호
- C: example.com ; 검증 통과; 정렬 예; DKIM 기여 네.
C가 존재하기 전에는 정렬된 SPF 없다고 명시된 통과 경로가 없습니다. C가 있으면 DMARC 가정된 적용 가능한 정책을 따릅니다. 실제 수신자 결과나 받은 편지함 배치 결과는 청구되지 않습니다.
관련 독서
DKIM 정렬: d=를 표시되는 보낸 사람 도메인과 비교 · RSA 및 Ed25519 DKIM 서명: 배포 질문 및 상호 운용성.