Przesyłanie dalej nie jest automatycznie przerywane DKIM. Spedytor, który przechowuje objętą treść wiadomości, może pozostawić oryginalny podpis ważny. Spedytor, który przepisuje objęte nagłówki lub treść, może je unieważnić. Zdiagnozuj, co faktycznie robi usługa spedycyjna, zamiast traktować wszystkie dostawy pośrednie jako jeden tryb awarii.
Śledź tożsamości i transformacje oddzielnie
U odbiorcy końcowego, SPF ocenia system łączący i odpowiednią tożsamość SMTP . Przekazywanie może zmienić adres IP połączenia, nawet jeśli treść wiadomości nie zostanie zmieniona. Zamiast tego DKIM weryfikuje treść wiadomości objętej kluczem domeny podpisującej. Mechanizmy te mogą zatem różnić się w przypadku tej samej przekazywanej wiadomości.
Zapisz widoczną domenę From, każdą domenę podpisującą DKIM , selektor i wynik, tożsamość koperty i przeskok przekazywania. DMARC wymaga przejścia ścieżki uwierzytelniania dostosowanej do domeny autora. Nienaruszony, wyrównany Podpis DKIM może zapewnić tę ścieżkę zgodnie z obowiązującymi zasadami w przypadku zakłóceń w przesyłaniu SPF, jak określono w RFC 9989 §4.4.1. Nowo dodany podpis w niepowiązanej domenie przekazującej nie jest automatycznie dopasowywany.
Porównaj próbki bezpośrednie i przesłane dalej
Wyślij kontrolowaną wiadomość do bezpośredniej testowej skrzynki odbiorczej i drogą przekazywania do innej testowej skrzynki odbiorczej. Zachowaj nieprzetworzone wiadomości i wyniki zaufanych odbiorców. Użyj unikalnego znacznika testowego, aby próbki można było powiązać bez polegania wyłącznie na temacie. Nie wnioskuj równości z renderowanej treści.
Sprawdź zmiany w treści, temacie i innych polach wybranych w h. Przed interpretacją różnic sprawdź znacznik c i dowolny znacznik l. Standard kanonizacja może tolerować pewne zmiany formatowania, natomiast przepisanie merytoryczne może zmienić podpisane przedstawienie. Dodane nagłówki transportu nie unieważniają z natury podpisu, który nie obejmował tych nowych zdarzeń; Wybór powtarzanego nagłówka i nadpisywanie mogą mieć znaczenie RFC 6376 §5.4.2.
Pracuj dwiema ścieżkami
Przykładowa ścieżka A przekazuje dalej wiadomość bez zmiany omawianej treści. Oryginalny podpis może zachować ważność. Ścieżka B dodaje baner ostrzegawczy do podpisanej treści, powodując niepowodzenie oryginalnego podpisu całej treści. Połączenie może być identyczne na obu ścieżkach, więc same obserwacje SPF nie mogą wyjaśnić różnicy DKIM .
Spedytor może również przepisać plik nadawca kopertowy w celu ulepszenia własnej autoryzacji SPF . Nie przywraca to uszkodzonego podpisu DKIM ani nie tworzy SPF wyrównanie z oryginałem widocznym z domeny. Rozdziel trzy pytania: która tożsamość przeszła SPF , który podpis przeszedł DKIM i czy którakolwiek ścieżka jest dopasowana.
Wybierz środek zaradczy o określonym zakresie
Jeśli zachowanie zawartości jest zgodne z wymogami bezpieczeństwa usługi, przejrzyj obsługiwane ustawienia, które pozwalają uniknąć niepotrzebnych modyfikacji. Jeśli wymagana jest modyfikacja, oceń udokumentowane podpisywanie usługi i pośrednią obsługę poczty. Nie udzielaj arbitralnym spedytorom swoich kluczy do podpisywania ani nie autoryzuj ich w szerokim zakresie w SPF , aby objawy zniknęły.
Odbiorca administracyjny może skorzystać z dodatkowych wiarygodnych dowodów lub lokalnych zasad w przypadku poczty pośredniej, ale jest to osobna decyzja dotycząca akceptacji. Nie zgłaszaj takiej akceptacji jak przywrócenie oryginalnego podpisu. Zachowaj wymagania biznesowe i wszelkich wyjątków właściciela wraz z wynikiem technicznym.
Zamknij za pomocą dowodu specyficznego dla trasy
Po zmianie powtórz testy typu „bezpośrednio” i „przesyłane dalej” dla zwykłego tekstu, kodu HTML i załączników. Zapisz, które oryginalne podpisy przetrwały, czy pojawił się nowy podpis, a także ostateczne wyniki DMARC i dostarczenia. Zachowaj trasę przekazywania w testach regresyjnych, ponieważ późniejsza zmiana banera lub skanowania może zmienić wynik bez zmiany DNS u nadawcy.
Przeczytaj dwa hipotetyczne wyniki na poziomie komunikatu
Załóżmy, że obowiązują zasady DMARC i domena autora example.com :
- Zachowana ścieżka: SPF kończy się niepowodzeniem po przekazaniu dalej, ale oryginalny podpis d=example.com nadal jest weryfikowany. Ta dokładnie dopasowana tożsamość DKIM zapewnia przepustkę DMARC .
- Zmodyfikowana ścieżka: oryginalny podpis DKIM nie działa; jedyny nowy przekazujący podpis i tożsamość SPF należą do forwarder.example.net . Zakładając, że domena nie jest powiązana z example.com , żadna z nich nie zapewnia wyrównania, więc DMARC kończy się niepowodzeniem. Odbiorca może w dalszym ciągu podjąć odrębną lokalną decyzję dotyczącą obsługi.
Nie łącz przepustki nowego podpisu z domeną starego podpisu. Przypadki te ilustrują warunki panujące w RFC 9989 §5.3.5; nie są to wyniki odbiorcy ani gwarancje dotyczące każdej usługi spedycyjnej.