Wiadomość dostarczona do skrzynki pocztowej lub grupy Workspace może odbyć drugą podróż, zanim dotrze do ostatecznego czytelnika. Następny odbiorca widzi przekierowanie połączenie systemu i komunikat mógł się zmienić. Przetestuj istniejącą ścieżkę, a nie wyidealizowaną próbkę z dostawy bezpośredniej.
Narysuj ścieżkę przed sprawdzeniem DNS
Zapisz pierwotnego nadawcę, początkowego odbiorcę lub grupę Workspace, każdą akcję rozwijania lub przekazywania oraz ostatecznego odbiorcę zewnętrznego. Rozróżnij regułę przekazywania skrzynek pocztowych, dystrybucję grupową i regułę routingu. Zwróć uwagę, czy grupa zmienia temat, stopkę, pole Od lub zachowanie odpowiedzi. Są to obserwacje, które należy zebrać na podstawie rzeczywistych ustawień i wiadomości, a nie uniwersalne twierdzenia dotyczące każdej Grupy dyskusyjnej Google.
Zachowaj kopię przed przesłaniem, jeśli to możliwe, oraz surową wiadomość końcową. Połącz je z identyfikatorami wiadomości i znacznikami czasu, umożliwiając pośrednikowi wygenerowanie nowego identyfikatora. Przechwyć pełne powiadomienie o niepowodzeniu w przypadku odrzucenia dostawy. Ogólna etykieta zwrotna nie może zidentyfikować mechanizmu uwierzytelniania, który zawiódł.
Sprawdź udokumentowane kontrole Grup dyskusyjnych Google
Ustawienia Grup dyskusyjnych Google odnoszą się do dokumentów Domyślny nadawca w Zasadach publikowania, z adresem autora lub grupy jako opcjami i osobnym uprawnieniem grupy „Kto może publikować”. Zapisz oba ustawienia, zamiast zakładać, że każdy plakat może używać tożsamości grupowej. Weryfikuje to dostępną kontrolę, a nie pole Od utworzone przez konkretną dostawę.
Właściciel lub menedżer może sprawdzić ustawienia grupy, a następnie opcje poczty e-mail. Google dokumentuje kontrolę przedrostka tematu oraz standardowe i niestandardowe opcje stopki wiadomości e-mail. Zachowaj swoje aktualne wartości przed zatwierdzonym testem; zmieniać jedno ustawienie na raz w kontrolowanej grupie. Oddzielna opcja „Wyślij odpowiedzi do” kontroluje domyślnych odbiorców odpowiedzi, a nie DMARC wyrównanie. Te specyficzne cechy produktu wyjaśniają, dlaczego plan testów obejmuje porównania podmiotu, ciała i tożsamości.
Instrukcje Google dotyczące stopki mówią, aby sprawdzić wiadomość otrzymaną od grupy w Gmail : stopka nie jest wyświetlana w widoku konwersacji w Grupach dyskusyjnych, w folderze Wysłane Gmail ani w kopii, w której otrzymano DW. Na potrzeby analizy uwierzytelniania dodatkowo zachowaj ostateczną dostarczoną nieprzetworzoną wiadomość z zamierzonej ścieżki dystrybucji. Ekranu pomijającego stopkę nie należy mylić z dowodem braku modyfikacji. Te oficjalne instrukcje ustanawiają model funkcji; tylko wiadomości przed i po mogą ustalić, czy konkretne podpisane pole uległo zmianie i który podpis przetrwał.
Oddziel naprawę SPF od wyrównania oryginalnej domeny
Przekazywanie zmienia adres IP łączący się z ostatecznym odbiornikiem. Oryginalna domena SPF polityka może nie zezwalać na takiego pośrednika. Cytowane przez Google wskazówki dotyczące przekazywania dotyczą konkretnie poczty przekazywanej do Gmail . Nie jest to specyfikacja domyślnych ustawień wychodzących Grup dyskusyjnych Google. Administratorom obsługującym tę ścieżkę przekazywania zaleca się zmianę nadawca kopertowy do tożsamości domeny przekazującej i autoryzując usługę przesyłania dalej w zasadach SPF tej domeny. Może to naprawić wynik SPF tożsamości przekazującej bez wyrównywania go z oryginalną widoczną domeną From.
Nie dodawaj każdej możliwej usługi spedycyjnej do usługi pierwotnego nadawcy Rekord SPF. Możesz nie kontrolować tej domeny, a zmiana pomyliłaby pierwotną autoryzację wysyłania z routingiem podrzędnym. Jeśli spedytor zapewnia przepisywanie nadawcy, potwierdź obsługiwane zachowanie i przetestuj wynikową tożsamość, zamiast zakładać konkretną implementację.
Zachowaj istniejącą ścieżkę DKIM
Google zaleca unikanie zmian w podpisanych nagłówkach i treści treści, ponieważ modyfikacje mogą spowodować unieważnienie DKIM. Sprawdź domenę d= oryginalnego podpisu, selektor i wynik odbiornika po ostatnim przeskoku. Drugi podpis z usługi przesyłania dalej nie jest automatycznie dopasowywany do domeny From oryginalnego autora.
ARC, Lub Uwierzytelniony otrzymany łańcuch, jeżeli występuje, przeprowadza uprzednią ocenę uwierzytelnienia za pośrednictwem pośredników. Nie zmienia to każdej przekazanej wiadomości w przepustkę DMARC ani nie zmusza odbiorcy do zaufania łańcuchowi. Zapisz oddzielnie wyniki ARC i decyzję ostatecznego odbiorcy. Google wyraźnie przeprowadza własne kontrole uwierzytelniania przekazywanych wiadomości.
Porównaj trzy kontrolowane przypadki
Ta oryginalna macierz testów opisuje oczekiwane rozumowanie, a nie zaobserwowane wyniki Google. Użyj autoryzowanej domeny nadawcy oraz kontrolowanej grupy i skrzynek odbiorczych.
- Obudowa: Sterowanie bezpośrednie; Co się zmienia: Brak etapu grupowania lub przekazywania; Co porównać: Tożsamości Baseline SPF , DKIM i DMARC .
- Sprawa: Niemodyfikowany forward; Co się zmienia: Podłączenie adresu IP i ewentualnie koperty; Co porównać: czy oryginał jest wyrównany Podpis DKIM przeżyje.
- Przypadek: Wiadomość rozwinięta przez grupę; Co się zmienia: Aktualnie skonfigurowane przekształcenia grup; Co do porównania: Integralność podpisanej treści, widoczna od, wszystkie podpisy i ARC .
Załóżmy na przykład, że From to author@example.com , spedytor przepisuje kopertę na forwarding.example.net i tam przekazuje SPF . Jeśli oryginalny podpis d=example.com pozostanie ważny, może zapewnić wyrównanie DMARC . Jeśli ten podpis się nie powiedzie, a jedynym pozostałym prawidłowym podpisem będzie d=example.net, żadna z wymienionych ścieżek nie będzie zgodna z example.com . Na tej ilustracji nie założono żadnego dodatkowego wyrównanego podpisu; odbiorca może nadal stosować swoją własną lokalną politykę dotyczącą dyspozycji.
Napraw najmniejszy odpowiedzialny element
Jeśli stopka przerywa pozostały podpis, przejrzyj tę transformację lub zachowanie grupy obsługiwane przez dostawcę. Jeśli widoczna tożsamość From została celowo przepisana, oceń uwierzytelnienie nowej tożsamości i to, czy prezentacja nadal służy celom grupy. Nie wyłączaj globalnie ochrony domeny, aby zapewnić dostawę jedną ścieżką dystrybucji.
Zachowaj diagram ścieżki, wersję ustawień, zredagowane nagłówki przed i po oraz wynik końcowy. Uruchom ponownie porównanie po zmianie ustawień grupy, aktualizacji routingu, nowych bramach, rotacji podpisów lub zmianie zasad dostawcy odbierającego. Wyniki uwierzytelnienia są jednym z danych wejściowych do dostarczenia; Kontrola skarg i nadużyć nadal ma znaczenie, nawet jeśli łańcuch techniczny jest ważny.
Zachowaj minimalny zapis porównawczy
Dla każdej kontrolowanej ścieżki zapisz wersję ustawień, identyfikatory pierwotnej i końcowej wiadomości, czasy UTC, widoczność nadawcy, tożsamość koperty, wszystkich sygnatariuszy DKIM i wyniki zaufanego odbiorcy. Dodaj dokładnie zmienione pole lub obszar ciała, jeśli pozwalają na to dowody. Zachowaj oddzielne nieznane pole dla niedostępnej kopii przed przesłaniem. W przypadku braku oryginału nie można ustalić, który pośrednik zmienił wiadomość.