En melding levert til en Workspace-postboks eller -gruppe kan ta en ny reise før den når den endelige leseren. Den neste mottakeren ser videresending systemets tilkobling, og meldingen kan ha endret seg. Test banen som finnes, ikke en idealisert direkteleveringsprøve.
Tegn banen før du inspiserer DNS
Registrer den opprinnelige avsenderen, den første Workspace-mottakeren eller gruppen, hver utvidelses- eller videresendingshandling og den endelige eksterne mottakeren. Skille en postboksvideresendingsregel, en gruppedistribusjon og en rutingregel. Legg merke til om gruppen endrer emne, bunntekst, Fra-felt eller svaradferd. Dette er observasjoner som skal samles inn fra dine faktiske innstillinger og meldinger, ikke universelle påstander om alle Google-grupper.
Ta vare på en kopi før videresending der den er tilgjengelig og den rå endelige meldingen. Koble dem til meldingsidentifikatorer og tidsstempler, slik at en mellommann genererer en ny identifikator. Registrer hele feilmeldingen hvis levering avvises. En generisk returetikett kan ikke identifisere autentiseringsmekanismen som mislyktes.
Inspiser de dokumenterte Google Groups-kontrollene
Googles gruppeinnstillinger refererer til dokumenter Standard avsender under retningslinjene for innlegg, med forfatterens eller gruppens adresse som alternativer, og en separat Hvem kan legge ut som gruppetillatelse. Ta opp begge innstillingene i stedet for å anta at hver plakat kan bruke gruppeidentiteten. Dette bekrefter den tilgjengelige kontrollen, ikke Fra-feltet produsert av din spesifikke leveranse.
En eier eller leder kan inspisere gruppeinnstillinger og deretter e-postalternativer. Google dokumenterer en emneprefikskontroll og standard eller egendefinerte bunntekstalternativer for e-post. Ta vare på gjeldende verdier før en godkjent test; endre én innstilling om gangen i en kontrollert gruppe. Det separate alternativet Post svar til kontrollerer standard svarmottakere, ikke DMARC justering. Disse produktspesifikke funksjonene forklarer hvorfor testplanen inkluderer sammenligninger av emne, kropp og identitet.
Googles bunntekstinstruksjoner sier å inspisere en melding mottatt fra gruppen i Gmail : bunnteksten vises ikke i gruppesamtalevisningen, Gmail Sendt-mappen eller en kopi som du ble kopiert til. For autentiseringsanalyse, behold i tillegg den endelige leverte råmeldingen fra den tiltenkte distribusjonsbanen. En skjerm som utelater bunnteksten må ikke forveksles med bevis på at ingen endring har skjedd. Disse offisielle instruksjonene etablerer funksjonsmodellen; bare før-og-etter-meldinger kan fastslå om et bestemt signert felt endret seg og hvilken signatur som overlevde.
Separat SPF -reparasjon fra original-domenejustering
Videresending endrer IP-en som kobles til den endelige mottakeren. Det opprinnelige domenet SPF policy kan ikke autorisere denne mellommannen. Googles siterte videresendingsveiledning tar spesifikt for seg e-post som videresendes til Gmail . Det er ikke en spesifikasjon av Google Groups utgående standardinnstillinger. For administratorer som bruker den videresendingsbanen, anbefaler det å endre konvoluttavsender til en videresendingsdomeneidentitet og autorisere videresendingstjenesten i det domenets SPF policy. Det kan reparere videresendingsidentitetens SPF resultat uten å justere det med det originale synlige Fra-domenet.
Ikke legg til alle mulige videresendingstjenester til den opprinnelige avsenderens SPF rekord. Det kan hende du ikke kontrollerer det domenet, og endringen vil forveksle den opprinnelige sendeautorisasjonen med nedstrømsruting. Hvis videresendingen gir avsenderomskriving, bekrefter dens støttede oppførsel og test den resulterende identiteten i stedet for å anta en bestemt implementering.
Bevar en overlevende DKIM bane
Google anbefaler å unngå endringer i signerte overskrifter og hovedinnhold fordi modifikasjoner kan ugyldiggjøres DKIM. Inspiser den originale signaturens d=-domene, velger og mottakerresultat etter siste hopp. En andre signatur fra videresendingstjenesten stemmer ikke automatisk med den opprinnelige forfatterens Fra-domene.
ARC, eller Autentisert mottatt kjede, der det er tilstede, utfører forhåndsgodkjenningsvurdering gjennom mellommenn. Det gjør ikke hver videresendt melding til et DMARC pass eller tvinger en mottaker til å stole på kjeden. Registrer ARC resultater og den endelige mottakerens avgjørelse separat. Google utfører eksplisitt sine egne autentiseringskontroller av videresendte meldinger.
Sammenlign tre kontrollerte tilfeller
Denne originale testmatrisen beskriver forventet resonnement, ikke observerte Google-resultater. Bruk et autorisert avsenderdomene og kontrollert gruppe og innbokser.
- Koffert: Direkte kontroll; Hva endres: Ingen gruppe eller videresendingstrinn; Hva du skal sammenligne: Baseline SPF , DKIM og DMARC identiteter.
- Sak: Umodifisert fremover; Hva endres: Koble til IP og eventuelt konvolutt; Hva skal sammenlignes: Om originalen er justert DKIM signatur overlever.
- Sak: Gruppeutvidet melding; Hva endres: Faktisk konfigurerte gruppetransformasjoner; Hva skal sammenlignes: Integritet med signert innhold, synlig fra, alle signaturer og ARC .
Anta for eksempel at From er author@example.com , en speditør skriver om konvolutten til forwarding.example.net og SPF sender videre dit. Hvis den originale d=example.com -signaturen forblir gyldig, kan den levere DMARC justering. Hvis den signaturen mislykkes og den eneste gjenværende gyldige signaturen er d=example.net, er ingen av de oppførte banene på linje med example.com . Denne illustrasjonen forutsetter ingen ekstra justert signatur; mottakeren kan fortsatt anvende sin egen lokale disposisjonspolicy.
Fiks den minste ansvarlige komponenten
Hvis en bunntekst bryter den overlevende signaturen, se gjennom den transformasjonen eller leverandørstøttet gruppeatferd. Hvis den synlige From-identiteten med vilje er skrevet om, vurder autentisering for den nye identiteten og om presentasjonen fortsatt tjener gruppens formål. Ikke deaktiver domenebeskyttelse globalt for å få én distribusjonsbane til å levere.
Ta vare på banediagrammet, revisjon av innstillinger, redigerte før-og-etter-overskrifter og sluttresultat. Kjør sammenligningen på nytt etter endringer i gruppeinnstillinger, rutingoppdateringer, nye gatewayer, signeringsrotasjon eller en mottakende leverandørs policyendring. Autentiseringsresultater er én inngang til levering; klage- og misbrukskontroller har fortsatt betydning selv når den tekniske kjeden er gyldig.
Behold en minimal sammenligningsrekord
For hver kontrollert bane, registrer innstillingsrevisjonen, originale og endelige meldingsidentifikatorer, UTC-tider, synlig fra, konvoluttidentitet, alle DKIM underskrivere og klarerte mottakerresultater. Legg til det nøyaktige endrede feltet eller kroppsområdet der beviset tillater det. Behold et eget ukjent felt for en utilgjengelig kopi før videresending. En fraværende original kan ikke fastslå hvilken mellommann som endret meldingen.