O encaminhamento não é interrompido automaticamente DKIM. Um encaminhador que preserva o conteúdo da mensagem coberta pode deixar a assinatura original válida. Um encaminhador que reescreve cabeçalhos cobertos ou conteúdo do corpo pode invalidá-lo. Diagnosticar o que o serviço de encaminhamento realmente faz, em vez de tratar todas as entregas indiretas como um único modo de falha.
Rastreie identidades e transformações separadamente
No receptor final, SPF avalia o sistema de conexão e a identidade SMTP relevante. O encaminhamento pode alterar o IP de conexão mesmo quando o corpo da mensagem não foi alterado. Em vez disso, DKIM verifica o conteúdo da mensagem coberta em relação à chave do domínio de assinatura. Estes mecanismos podem, portanto, divergir na mesma mensagem encaminhada.
Registre o domínio From visível, cada domínio de assinatura DKIM , seletor e resultado, a identidade do envelope e o salto de encaminhamento. DMARC requer um caminho de autenticação de passagem alinhado com o domínio do autor. Um alinhamento intacto Assinatura DKIM pode fornecer esse caminho sob uma política aplicável quando o encaminhamento interrompe SPF, conforme especificado em RFC 9989 §4.4.1. Uma assinatura recém-adicionada em um domínio de encaminhamento não relacionado não é alinhada automaticamente.
Compare amostras diretas e encaminhadas
Envie uma mensagem controlada para uma caixa de entrada de teste direta e através da rota de encaminhamento para outra caixa de entrada de teste. Preserve mensagens brutas e resultados de receptores confiáveis. Use um marcador de teste exclusivo para que as amostras possam ser associadas sem depender apenas do assunto. Não infira igualdade do corpo renderizado.
Inspecione as alterações no corpo, assunto e outros campos selecionados em h. Verifique c e qualquer tag l antes de interpretar as diferenças. Padrão canonização pode tolerar certas alterações de formatação, enquanto a reescrita substantiva pode alterar a representação assinada. Os cabeçalhos de transporte adicionados não invalidam inerentemente uma assinatura que não cobriu essas novas ocorrências; seleção de cabeçalho repetido e oversigning podem ser importantes RFC 6376 §5.4.2.
Trabalhe por dois caminhos
Caminho ilustrativo A encaminha a mensagem sem alterar o conteúdo abordado. A assinatura original pode permanecer válida. O Caminho B adiciona um banner de aviso ao corpo assinado, fazendo com que a assinatura original de corpo inteiro falhe. A conexão pode ser idêntica em ambos os caminhos, portanto as observações SPF por si só não podem explicar a diferença DKIM .
Um encaminhador também pode reescrever o remetente do envelope para melhorar sua própria autorização SPF . Isso não restaura uma assinatura DKIM quebrada nem necessariamente cria SPF alinhamento com o domínio From original visível. Mantenha as três questões separadas: qual identidade passou SPF , qual assinatura passou DKIM e se algum dos caminhos está alinhado.
Selecione uma solução com escopo definido
Se a preservação do conteúdo for compatível com as obrigações de segurança do serviço, revise as configurações suportadas para evitar modificações desnecessárias. Se for necessária modificação, avalie a assinatura documentada do serviço e o tratamento de correspondência indireta. Não conceda suas chaves de assinatura a encaminhadores arbitrários nem os autorize amplamente no SPF para fazer um sintoma desaparecer.
Um destinatário administrativo pode usar evidências confiáveis adicionais ou políticas locais para correspondência indireta, mas essa é uma decisão de aceitação separada. Não relate tal aceitação como restauração da assinatura original. Retenha os requisitos de negócios e qualquer proprietário de exceção junto com o resultado técnico.
Fechar com prova específica da rota
Repita os testes direto versus encaminhado para texto simples, HTML e anexos após uma alteração. Registre quais assinaturas originais sobreviveram, se uma nova assinatura aparece e o DMARC final e os resultados da entrega. Mantenha a rota de encaminhamento em testes de regressão porque uma alteração posterior no banner ou na verificação pode alterar o resultado sem qualquer alteração DNS no remetente.
Leia dois resultados hipotéticos em nível de mensagem
Suponha uma política DMARC aplicável e um domínio de autor example.com :
- Caminho preservado: SPF falha após o encaminhamento, mas a assinatura d=example.com original ainda é verificada. Essa identidade DKIM exatamente alinhada fornece passagem DMARC .
- Caminho modificado: a assinatura DKIM original falha; a única nova assinatura de passagem e identidade SPF pertencem a forwarder.example.net . Supondo que o domínio não esteja relacionado a example.com , nenhum dos dois fornece alinhamento, portanto DMARC falha. O receptor ainda pode tomar uma decisão de tratamento local separada.
Não mescle o passe da nova assinatura com o domínio da assinatura antiga. Esses casos ilustram as condições em RFC 9989 §5.3.5; eles não são resultados capturados do receptor ou garantias sobre todos os serviços de encaminhamento.