Videresending bryter ikke automatisk DKIM. En videresending som bevarer det dekkede meldingsinnholdet kan la den originale signaturen være gyldig. En videresending som omskriver dekkede overskrifter eller hovedinnhold kan ugyldiggjøre den. Diagnostiser hva videresendingstjenesten faktisk gjør i stedet for å behandle all indirekte levering som én feilmodus.
Spor identiteter og transformasjoner separat
Ved den endelige mottakeren, SPF evaluerer tilkoblingssystemet og relevant SMTP identitet. Videresending kan endre tilkoblings-IP selv når meldingsteksten er urørt. DKIM verifiserer i stedet dekket meldingsinnhold mot signeringsdomenets nøkkel. Disse mekanismene kan derfor avvike på den samme videresendte meldingen.
Registrer det synlige Fra-domenet, hvert DKIM signeringsdomene, velger og resultatet, konvoluttidentiteten og videresendingshoppet. DMARC krever en bestått autentiseringsbane på linje med forfatterdomenet. En intakt justert DKIM signatur kan levere denne banen i henhold til gjeldende retningslinjer når videresending avbrytes SPF, som spesifisert i RFC 9989 §4.4.1. En nylig lagt til signatur under et urelatert videresendingsdomene justeres ikke automatisk.
Sammenlign direkte og videresendte prøver
Send en kontrollert melding til en direkte testinnboks og gjennom videresendingsruten til en annen testinnboks. Bevar råmeldinger og pålitelige mottakerresultater. Bruk en unik testmarkør slik at prøvene kan assosieres uten å stole utelukkende på emnet. Ikke utlede likhet fra den gjengitte kroppen.
Inspiser endringer i brødteksten, emnet og andre felter valgt i h. Sjekk c og eventuell l-tag før du tolker forskjeller. Standard kanonisering kan tolerere visse formateringsendringer, mens substansiell omskriving kan endre den signerte representasjonen. Tilførte transporthoder ugyldiggjør ikke i seg selv en signatur som ikke dekket de nye forekomstene; repetert-header valg og oversignering kan ha betydning under RFC 6376 §5.4.2.
Arbeid gjennom to baner
Illustrasjonsvei A videresender meldingen uten å endre dekket innhold. Den originale signaturen kan forbli gyldig. Bane B legger til et advarselsbanner til den signerte brødteksten, noe som fører til at den originale helkroppssignaturen mislykkes. Forbindelsen kan være identisk på begge stier, så SPF observasjoner alene kan ikke forklare DKIM forskjellen.
En speditør kan også skrive om konvoluttavsender å forbedre sin egen SPF autorisasjon. Det gjenoppretter ikke en ødelagt DKIM signatur eller oppretter nødvendigvis SPF justering med det originale synlige Fra-domenet. Hold de tre spørsmålene adskilt: hvilken identitet bestod SPF , hvilken signatur bestod DKIM og om en av banene var justert.
Velg en utbedring med omfang
Hvis bevaring av innhold er kompatibel med tjenestens sikkerhetsforpliktelser, bør du se gjennom støttede innstillinger som unngår unødvendige endringer. Hvis endring er nødvendig, vurder tjenestens dokumenterte signering og indirekte posthåndtering. Ikke gi vilkårlige videresendingere signeringsnøklene dine eller godkjenne dem generelt i SPF for å få et symptom til å forsvinne.
En administrativ mottaker kan bruke ytterligere pålitelige bevis eller lokale retningslinjer for indirekte post, men det er en egen akseptavgjørelse. Ikke rapporter slik aksept som gjenoppretting av den originale signaturen. Behold forretningskrav og eventuelle unntakseiere ved siden av det tekniske resultatet.
Lukk med rutespesifikk bevis
Gjenta testene direkte versus videresendt for ren tekst, HTML og vedlegg etter en endring. Registrer hvilke originale signaturer som overlever, om en ny signatur vises, og de endelige DMARC og leveringsresultatene. Behold videresendingsruten i regresjonstester fordi en senere banner- eller skanningsendring kan endre utfallet uten noen DNS endring hos avsenderen.
Les to hypotetiske utfall på meldingsnivå
Anta en gjeldende DMARC policy og Author Domain example.com :
- Bevart bane: SPF mislykkes etter videresending, men den originale d=example.com -signaturen bekrefter fortsatt. Den nøyaktig justerte DKIM identiteten gir DMARC passet.
- Modifisert bane: den originale DKIM -signaturen mislykkes; den eneste nye beståtte signaturen og SPF identiteten tilhører forwarder.example.net . Forutsatt at domenet ikke er relatert til example.com , leverer ingen av dem justering, så DMARC mislykkes. Mottakeren kan fortsatt ta en egen lokal håndteringsavgjørelse.
Ikke slå sammen den nye signaturens pass med den gamle signaturens domene. Disse tilfellene illustrerer forholdene i RFC 9989 §5.3.5; de er ikke registrerte mottakerresultater eller garantier for hver videresendingstjeneste.