En videresendt melding kan være legitim og fortsatt mislykkes DMARC. Den siste mottaksserveren evaluerer tilkoblingen og meldingen den faktisk mottar, ikke avsenderens intensjon eller resultatet av en tidligere levering. Det nyttige spørsmålet er hvilken autentisert identitet som fortsatt stemmer overens med det synlige From-domenet etter videresendingshoppet. Bevar det skillet før du vurderer et policy-unntak.
Rekonstruer ruten
Referanser: RFC 8601 §1.2, RFC 8601 §5.
Samle inn den originale råmeldingen, den videresendte råmeldingen, tidsstempler, videresendingskonfigurasjon og mottakergenererte autentiseringsresultater. Hold SMTP konvolutten atskilt fra de synlige overskriftene: En lagret melding bevarer ikke nødvendigvis konvolutten som brukes ved hvert hopp. Skaff sporbevis fra systemene som er ansvarlige for disse humlene. Ikke behandle en avsender som er satt inn Authentication-Results felt som en pålitelig mottakerobservasjon. RFC 8601 forklarer den grensen.
Merk original avsender, mellomledd og endelig mottaker. Deretter registrerer du koblende IP, konvoluttdomene, synlig fra domene og hver DKIM signeringsdomene ved hvert gjeldende evalueringspunkt. Et rutediagram er bare nyttig hvis det gjenspeiler observerte overføringer. En ukjent hop forblir ukjent i stedet for å bli tildelt et antatt autentiseringsresultat.
Identifiser den overlevende veien
Referanser: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF vurderer koblingssystemet opp mot en konvoluttidentitet. Ved den endelige mottakeren kan en videresendingsserver være utenfor det opprinnelige konvoluttdomenets autorisasjon. En bevart DKIM signatur kan fortsatt gi et justert pass fordi bekreftelse er knyttet til den signerte meldingen og signeringsdomenet. Omskriving av innhold kan fjerne den gjenværende banen. DMARC trenger et justert autentisert resultat, ikke bare et hvilket som helst SPF eller DKIM pass. RFC 9989, RFC 7208 og RFC 6376 definere disse separate kontrollene.
En SRS-omskrevet konvolutt kan passere SPF for speditørens domene uten å være på linje med den opprinnelige forfatterens Fra-domene. En ny signatur fra samme speditør har den analoge begrensningen. Ingen av observasjonene betyr at meldingen nødvendigvis er ondsinnet, og heller ikke automatisk reparerer forfatterens justerte autentisering.
Kjør det avgrensede eksemplet
Referanser: RFC 9989 §4.4, RFC 9989 §5.3.5.
Den beholdte strengjusteringsmodellen kan inspiseres separat fra SMTP registreringen. Den direkte kofferten leverer justerte SPF og DKIM pass. Den bevarte videresendingssaken gir SPF feil og justert DKIM suksess, så den strenge justeringsmodellen består fortsatt. Bunnteksten viser feil for både baner og feil. De SRS tilfeller isolerer hvordan en vellykket, men usammenhengende SPF identitet ikke endrer noe av det resonnementet.
Disse boolerne er bevisste inndata, ikke resultater av direkte DNS spørringer eller kryptografisk signaturverifisering. De genererte råmeldingene er syntetiske og ble aldri mottatt. De illustrerer en kontrollert kroppsendring, men tilfredsstiller ikke kravet til ekte originale og videresendte meldinger med pålitelige resultater. Den beholdte SMTP laboratoriedelen nedenfor gir historisk lokalt mottatt bevis; Eksterne produksjonsbevis forblir åpne.
Reparer den smale årsaken
Referanser: RFC 9989 §7.4.
Be mellomleddet om å bevare signert innhold der det er mulig, og bekrefte signeringsplassering i den opprinnelige tjenesten. Test en representativ autorisert rute før du endrer retningslinjene for brede domene. Hvis en mottaker anvender et lokalt unntak, behold kravene til omfang, eier, utløp og uavhengige filtrering. Levering under unntak er ikke et DMARC pass.
Avslutt undersøkelsen først når tapt vei, foretatt endring og observert mottakerbeslutning er dokumentert separat. Test periodiske arbeidsflyter og arbeidsflyter med lavt volum på nytt, samt den åpenbare daglige banen. En organisasjonsomfattende overgang til overvåking bare for å skjule én videresendingsfeil kan redusere beskyttelsen for ikke-relatert post uten å fikse mellomleddet.
Beholdt SMTP -laboratoriebevis
Referanser: RFC 7208 §4, RFC 6376 §6.
Den beholdte registreringen datert 7. november 2026 kl. 21:29:16 UTC registrerer at loopback-mottakeren fanget opp direkte, bevart videresending og bunntekst-modifiserte meldinger over faktisk SMTP . Den observerte peer 127.0.0.2 for den opprinnelige forbindelsen og 127.0.0.3 for videresendingsforbindelsen. pyspf evaluerte disse IP-ene mot isolert fixtur DNS ; dkimpy bekreftet faktiske RSA-signaturer. Den direkte saken besto begge kontrollene, den bevarte videresendte kopien mislyktes SPF , men besto justert DKIM , og bunntekstkopien mislyktes begge. Mottakergenererte Authentication-Results og fullstendige råmeldinger beholdes sammen med konvolutter og SHA-256-verdier.
Den historiske løperen og de beholdte meldingene ble inspisert for denne revisjonen; nettverkseksperimentet ble ikke kjørt på nytt. Den opprinnelige utførelsen brukte bare loopback og sendte ingen Internett-e-post. Mottakeren oppretter Authentication-Results fra sine egne kontroller, og gir disse feltene kjent laboratorieopprinnelse. Autentiseringsresultat og disposisjon forblir atskilt: alle seks SMTP prøver mottar 250 under en eksplisitt fangstpolicy, inkludert mislykkede prøver. Tillitsgrensen er dette kontrollerte laboratoriet, ikke en produksjonspostboksleverandør. DNS adapteren leverer beholdte fixtursvar i stedet for å spørre offentlig DNS , og DMARC evaluatoren bruker kun streng domenelikhet. Full organisasjonsdomene-oppdagelse, produksjonspolicy-parsing og live-distribusjonsresultater forblir uprøvde.