Het doorsturen wordt niet automatisch verbroken DKIM. Een doorstuurder die de gedekte berichtinhoud bewaart, kan de originele handtekening geldig laten. Een doorstuurprogramma dat gedekte headers of hoofdtekst herschrijft, kan deze ongeldig maken. Stel vast wat de doorstuurservice feitelijk doet, in plaats van alle indirecte bezorgingen als één mislukking te beschouwen.
Traceer identiteiten en transformaties afzonderlijk
Bij de uiteindelijke ontvanger SPF evalueert het verbindende systeem en de relevante SMTP identiteit. Doorsturen kan het verbindende IP-adres wijzigen, zelfs als de berichttekst onaangeroerd blijft. DKIM verifieert in plaats daarvan de gedekte berichtinhoud aan de hand van de sleutel van het ondertekenende domein. Deze mechanismen kunnen dus uiteenlopen op hetzelfde doorgestuurde bericht.
Registreer het zichtbare Van-domein, elk DKIM ondertekeningsdomein, keuzeschakelaar en resultaat, de envelopidentiteit en de doorstuursprong. DMARC vereist een passerend authenticatiepad dat is afgestemd op het auteurdomein. Een intact uitgelijnd DKIM -handtekening kan dat pad leveren onder een toepasselijk beleid wanneer het doorsturen wordt verstoord SPF, zoals gespecificeerd in RFC 9989 §4.4.1. Een nieuw toegevoegde handtekening onder een niet-gerelateerd doorstuurdomein wordt niet automatisch uitgelijnd.
Vergelijk directe en doorgestuurde monsters
Stuur een gecontroleerd bericht naar een directe testinbox en via de doorstuurroute naar een andere testinbox. Bewaar onbewerkte berichten en vertrouwde ontvangerresultaten. Gebruik een unieke testmarkering zodat de monsters kunnen worden gekoppeld zonder uitsluitend op het onderwerp te vertrouwen. Leid geen gelijkheid af uit het weergegeven lichaam.
Inspecteer wijzigingen in de hoofdtekst, het onderwerp en andere velden die zijn geselecteerd in h. Controleer c en eventuele l-tags voordat u de verschillen interpreteert. Standaard canonicalisering kan bepaalde opmaakwijzigingen tolereren, terwijl inhoudelijk herschrijven de ondertekende weergave kan veranderen. Toegevoegde transportkoppen maken niet inherent een handtekening ongeldig die deze nieuwe gebeurtenissen niet dekt; selectie van herhaalde headers en oversigning kunnen van belang zijn RFC 6376 §5.4.2.
Werk via twee paden
Illustratief pad A stuurt het bericht door zonder de gedekte inhoud te wijzigen. De originele handtekening kan geldig blijven. Pad B voegt een waarschuwingsbanner toe aan de ondertekende hoofdtekst, waardoor de originele volledige handtekening mislukt. De verbinding kan op beide paden identiek zijn, dus SPF waarnemingen alleen kunnen het DKIM verschil niet verklaren.
Een expediteur kan ook het envelop afzender om de eigen SPF autorisatie te verbeteren. Dat herstelt niet een kapotte DKIM -handtekening of creëert noodzakelijkerwijs SPF uitlijning met het originele zichtbare Van-domein. Houd de drie vragen gescheiden: welke identiteit heeft SPF doorstaan, welke handtekening heeft DKIM doorstaan en of een van beide paden op één lijn ligt.
Selecteer een oplossing met een bereik
Als het behoud van inhoud compatibel is met de beveiligingsverplichtingen van de service, controleer dan de ondersteunde instellingen om onnodige wijzigingen te voorkomen. Als er wijzigingen nodig zijn, beoordeel dan de gedocumenteerde ondertekening en verwerking van indirecte post van de service. Geef geen willekeurige expediteurs uw ondertekeningssleutels en autoriseer ze niet breed in SPF om een symptoom te laten verdwijnen.
Een administratieve ontvanger kan bij indirecte post aanvullend vertrouwd bewijsmateriaal of lokaal beleid gebruiken, maar dat is een afzonderlijk acceptatiebesluit. Rapporteer een dergelijke aanvaarding niet als herstel van de originele handtekening. Bewaar de bedrijfsvereisten en eventuele uitzonderingseigenaren naast het technische resultaat.
Sluit af met routespecifiek bewijs
Herhaal de direct-versus-forwarded-tests voor platte tekst, HTML en bijlagen na een wijziging. Registreer welke originele handtekeningen bewaard zijn gebleven, of er een nieuwe handtekening verschijnt en wat de uiteindelijke DMARC en leveringsresultaten zijn. Houd de doorstuurroute bij regressietests aan, omdat een latere banner- of scanwijziging de uitkomst kan veranderen zonder enige DNS wijziging bij de afzender.
Lees twee hypothetische resultaten op berichtniveau
Ga uit van een toepasselijk DMARC -beleid en auteursdomein example.com :
- Behouden pad: SPF mislukt na doorsturen, maar de originele d=example.com -handtekening wordt nog steeds geverifieerd. Die exact uitgelijnde DKIM identiteit levert DMARC pas op.
- Gewijzigd pad: de originele DKIM -handtekening mislukt; de enige nieuwe passerende handtekening en SPF identiteit behoren tot forwarder.example.net . Ervan uitgaande dat dat domein geen verband houdt met example.com , levert geen van beide uitlijning, dus DMARC mislukt. De ontvanger kan nog steeds een afzonderlijk lokaal afhandelingsbesluit nemen.
Voeg de pas van de nieuwe handtekening niet samen met het domein van de oude handtekening. Deze gevallen illustreren de omstandigheden in RFC 9989 §5.3.5; het zijn geen vastgelegde ontvangerresultaten of garanties voor elke doorstuurservice.