E-postlister kan endre selve innholdet en original DKIM signatur beskytter. Et emneprefiks, bunntekst, MIME omskriving eller endring av forfatterhodet kan endre resultatet. Diagnostiser hver transformasjon og listens egen signeringsatferd før du bestemmer deg for om problemet er kryptografisk verifisering, justering eller mottakerhåndtering.
Fang listegrensen
Bruk en kontrollert melding sendt både direkte og gjennom listen. Skaff den originale innsendingen der den er autorisert, listens redistribuerte melding og den endelige mottakerens pålitelige autentiseringsresultat. Registrer det synlige Fra-domenet før og etter omfordeling og hver DKIM signering av domene.
En bunntekst kan endre kroppshasj. Et emneprefiks kan ugyldiggjøre en signatur som dekker emne. MIME gjenoppbygging kan endre kroppsrepresentasjonen selv når den viste teksten er lik. Under RFC 6376 §5.4, Fra må dekkes av en DKIM -signatur, så omskriving av den endrer beskyttet overskriftsinnhold for den originale signaturen. Det nøyaktige resultatet avhenger fortsatt av kanonisering, dekning og alle andre kontroller.
Skille listens signatur
RFC 6376 §5.5 sier at en endringslisteadministrator som implementerer DKIM bør sjekke en eksisterende signatur ved inndata og må gjøre endringer før de signerer på nytt. En ny signatur kan autentisere listens endelige innhold under listens signeringsdomene. Den gjenoppretter ikke den opprinnelige signaturen med tilbakevirkende kraft eller hevder automatisk den opprinnelige forfatterens domene.
Til DMARC, undersøk justeringen mot det endelige forfatterdomenet under RFC 9989 §4.4.1. Hvis listen beholder det opprinnelige forfatterdomenet, men kun signerer med et ikke-relatert listedomene, er det nye DKIM passet alene ikke en justert bane. Hvis en støttet listekonfigurasjon omskriver Fra til et listekontrollert domene og signerer med et justert domene, er identitetene som evalueres hos mottakeren forskjellige. Denne endringen har brukersynlige svar og attribusjonskonsekvenser og bør vurderes, ikke behandles som en skjult teknisk bryter.
Gå gjennom en kontrollert sammenligning
Illustrerende eksempel: en original melding fra et forfatterdomene har en gyldig signatur. Listen legger til en bunntekst og signerer den endrede meldingen ved å bruke sitt eget urelaterte domene samtidig som den originale Fra bevares. Den originale signaturen kan mislykkes og listesignaturen kan passere, men sistnevnte oppfyller ikke i seg selv DKIM justering for den originale From. Dette forklarer hvorfor en generisk " DKIM pass"-etikett kan være misvisende.
Bruk bare en ny test hvis listen tilbyr et støttet alternativ, for eksempel en annen endrings- eller forfatterhåndteringspolicy. Sammenlign mottakerresultater og menneskevendt svaradferd. Ikke anta at hvert listeprodukt har de samme alternativene eller at hver mottaker vil ta den samme akseptbeslutningen.
Velg en dokumentert listepolicy
Mulige designvalg inkluderer å redusere unødvendige modifikasjoner, signere det endelige redistribuerte innholdet eller bruke støttet forfatterhåndteringsatferd med tydelig attribusjon. Hvert valg bør være knyttet til listens formål og gjeldende produktdokumentasjon. Unngå å aktivere delvis kroppsdekning gjennom l som en universell bunntekstløsning; RFC 6376 §8.2 advarer om usignerte risikoer for vedlagt innhold.
Hvis en mottaker aksepterer legitim indirekte post gjennom et lokalt unntak eller ytterligere pålitelige bevis, dokumenter denne avgjørelsen separat fra DKIM og DMARC -dommene, i samsvar med RFC 9989 §5.3.6. Ikke svekk hele forfatterens domenepolicy bare fordi én listebane trenger undersøkelse.
Bekreft leseropplevelsen
Test ren tekst, HTML og vedlegg, pluss Svar og svar alle-atferd. Ta vare på både autentiseringsbevis og en menneskelig vurdering av attribusjon. En fullført rettelse viser hvilken identitet som tar ansvar for den videredistribuerte meldingen, hvilke originale garantier som overlever, og hvordan abonnenter kan svare uten å bli villedet.
Bevis nødvendig for neste avgjørelse
Bruk en hypotetisk listekjøring for å fylle én rad per signatur: original-/listeidentitet, signerte overskrifter, kroppsdekning, verifiseringsresultat og justering til det endelige forfatterdomenet. Hvis originalen mislykkes og den ikke-relaterte listeidentiteten passerer, sjekk SPF justering separat før du tildeler et DMARC -resultat. Registrer svaratferd før du godkjenner omskriving av synlig identitet. Dette er foreslåtte gjennomgangstrinn, ikke utførte tester.