Listy mailingowe mogą zmienić samą treść na oryginalną Podpis DKIM chroni. Przedrostek tematu, stopka, przepisanie MIME lub zmiana nagłówka autora może zmienić wynik. Zdiagnozuj każdą transformację i własne zachowanie podpisywania listy przed podjęciem decyzji, czy problemem jest weryfikacja kryptograficzna, wyrównanie lub obsługi odbiornika.
Przechwyć granicę listy
Użyj kontrolowanej wiadomości wysyłanej zarówno bezpośrednio, jak i za pośrednictwem listy. Uzyskaj oryginalne zgłoszenie, jeśli zostało autoryzowane, ponownie rozpowszechnioną wiadomość z listy i wynik zaufanego uwierzytelnienia odbiorcy końcowego. Nagraj widoczną domenę From przed i po redystrybucji oraz co DKIM domena podpisująca.
Stopka może zmienić skrót ciała. Przedrostek tematu może unieważnić podpis obejmujący temat. Przebudowa MIME może zmienić reprezentację treści, nawet jeśli wyświetlany tekst jest podobny. Pod RFC 6376 §5.4, From musi być objęte podpisem DKIM , zatem przepisanie go powoduje zmianę chronionej zawartości nagłówka na oryginalny podpis. Dokładny wynik nadal zależy od kanonizacja, zasięg i wszystkie inne kontrole.
Rozróżnij podpis listy
RFC 6376 §5.5 mówi, że menedżer list modyfikujących wdrażający DKIM powinien sprawdzić istniejący podpis na wejściu i wprowadzić zmiany przed ponownym podpisaniem. Nowy podpis może uwierzytelnić ostateczną zawartość listy w domenie podpisującej listę. Nie przywraca z mocą wsteczną oryginalnego podpisu ani nie potwierdza automatycznie domeny pierwotnego autora.
Dla DMARC, sprawdź dopasowanie do ostatecznej domeny autora w ramach RFC 9989 §4.4.1. Jeśli lista zachowuje pierwotną domenę autora, ale jest podpisana tylko niepowiązaną domeną listy, sama nowa przepustka DKIM nie jest wyrównaną ścieżką. Jeśli obsługiwana konfiguracja listy przepisze From do domeny kontrolowanej przez listę i podpisze dopasowaną domeną, tożsamości oceniane u odbiorcy będą inne. Zmiana ta ma widoczne dla użytkownika konsekwencje dotyczące odpowiedzi i przypisania, dlatego należy ją sprawdzić, a nie traktować jako ukrytą zmianę techniczną.
Przejdź przez kontrolowane porównanie
Przykładowy przypadek: oryginalna wiadomość z domeny autora ma prawidłowy podpis w całości. Lista dodaje stopkę i podpisuje zmodyfikowaną wiadomość przy użyciu własnej niepowiązanej domeny, zachowując jednocześnie oryginalną nazwę „Od”. Oryginalny podpis może zawieść, a podpis na liście może przejść, ale ten ostatni sam w sobie nie spełnia wyrównania DKIM dla oryginalnego źródła. To wyjaśnia, dlaczego ogólna etykieta „przepustka DKIM ” może wprowadzać w błąd.
Użyj drugiego testu tylko wtedy, gdy lista oferuje obsługiwaną alternatywę, taką jak inna modyfikacja lub zasady obsługi autorów. Porównaj wyniki odbiorcy i zachowanie odpowiedzi skierowanej w stronę człowieka. Nie zakładaj, że każdy produkt z listy ma te same opcje lub że każdy odbiorca podejmie tę samą decyzję o akceptacji.
Wybierz udokumentowaną politykę dotyczącą list
Możliwe wybory projektowe obejmują ograniczenie niepotrzebnych modyfikacji, podpisywanie ostatecznej redystrybuowanej treści lub korzystanie z obsługiwanego sposobu obsługi autora z wyraźnym przypisaniem. Każdy wybór powinien być powiązany z przeznaczeniem listy i aktualną dokumentacją produktu. Unikaj włączania pokrycia części ciała przez l jako uniwersalnego obejścia stopki; RFC 6376 §8.2 ostrzega przed zagrożeniami związanymi z niepodpisaną zawartością dołączoną.
Jeżeli odbiorca akceptuje legalną pocztę pośrednią w ramach lokalnego wyjątku lub dodatkowego zaufanego dowodu, udokumentuj tę decyzję oddzielnie od orzeczeń DKIM i DMARC , zgodnie z RFC 9989 §5.3.6. Nie osłabiaj całej polityki autora dotyczącej domeny tylko dlatego, że jedna ścieżka listy wymaga zbadania.
Zweryfikuj doświadczenia czytelnika
Przetestuj zwykły tekst, kod HTML i załączniki oraz zachowanie funkcji Odpowiedz i Odpowiedz wszystkim. Zachowaj zarówno dowody uwierzytelnienia, jak i weryfikację przypisania przez człowieka. Ukończona poprawka pokazuje, która tożsamość przejmuje odpowiedzialność za redystrybuowaną wiadomość, które oryginalne gwarancje przetrwają i w jaki sposób subskrybenci mogą odpowiedzieć, nie dając się wprowadzić w błąd.
Dowody potrzebne do podjęcia kolejnej decyzji
Użyj hipotetycznego przebiegu listy, aby wypełnić jeden wiersz na każdy podpis: tożsamość oryginału/listy, podpisane nagłówki, zakres treści, wynik weryfikacji i wyrównanie do ostatecznej domeny autora. Jeśli oryginał nie powiedzie się, a niepowiązana tożsamość listy przejdzie, sprawdź SPF wyrównanie oddzielnie przed przypisaniem wyniku DMARC . Przechwyć zachowanie odpowiedzi przed zatwierdzeniem jakiejkolwiek zmiany widocznej tożsamości. Są to proponowane kroki przeglądu, a nie wykonane testy.