Uma entrega directa bem sucedida não é prova suficiente para uma DMARC política. Um serviço de encaminhamento altera o caminho de envio e uma lista de e-mails pode alterar o conteúdo assinado. Crie um pequeno conjunto de testes que represente as rotas que a empresa realmente precisa. Avalie a autenticação separadamente da entrega para que uma exceção em um receptor não pareça compatibilidade universal.
Estabeleça a linha de base
Referências: RFC 9989 §4.4, RFC 9989 §5.3.5.
Escolha contas de remetente e destinatário autorizados e conteúdo inofensivo. Registre o domínio De, remetente do envelope, enviando IP, Seletor DKIM e assinatura de domínio. Mantenha uma cópia de entrega direta e resultados de autenticação de receptor confiável. Capture a política DMARC aplicável e alinhamento modo no momento do teste. Se a linha de base já estiver desalinhada, repare esse remetente antes de diagnosticar o encaminhamento.
Sob RFC 9989, uma passagem alinhada SPF ou DKIM mecanismo pode satisfazer DMARC . A passagem SPF no domínio de um encaminhador não é automaticamente alinhada com o domínio do autor. RFC 6376 explica por que a preservação de conteúdo assinado é importante para DKIM . Registre qual mecanismo sobrevive em vez de tratar um resultado geral verde como uma explicação.
Exercite variantes significativas
Referências: RFC 6376 §3.4, RFC 8617 §7.2.1.
Inclui encaminhamento inalterado, reescrita de envelope, inserção de rodapé de lista, modificação de assunto e qualquer transformação MIME executada pelo serviço real. Teste vários tipos de mensagens legítimas, especialmente aquelas com anexos ou caminhos de envio de terceiros. A questão relevante é se a transformação altera o material coberto pela assinatura real e canonização, não se a mensagem parece idêntica em um cliente.
Mantenha um controle negativo cuja assinatura alinhada seja deliberadamente inválida em um laboratório isolado. Um receptor que aceita tanto os casos válidos como os inválidos pode estar aplicando a política local. Essa observação é útil, mas não prova que ambas as mensagens sejam autenticadas. Se ARC está presente, a validação da cadeia de registros, o selador e a decisão de confiança do receptor separadamente. RFC 8617 não transforma toda cadeia válida em um comando de entrega. Conforme verificado em 8 de novembro de 2026, a RFC permanece Experimental e um projeto ativo propõe status Histórico; considerar essa proposta antes de criar uma nova dependência ARC .
Leia o acessório reproduzível
Referências: RFC 6376 §6.
O laboratório retido assina uma mensagem autor.test inofensiva com uma chave RSA temporária e a verifica com dkimpy. O caso direto passa. Uma cópia encaminhada inalterada ainda é verificada. Uma alteração de envelope no estilo SRS também deixa DKIM válido, embora a identidade SPF simplificada agora seja forwarder.test e não esteja alinhada. Um rodapé anexado ao corpo assinado falha na verificação e no modelo DMARC de domínio exato.
Cada caso retém o resumo da mensagem, o IP da rota, a identidade do envelope, o domínio de assinatura e o veredicto. A chave de verificação é pública; nenhuma chave privada é retida. A reexecução do dispositivo gerador de chaves original criaria novas chaves e, portanto, novos hashes de mensagens; não foi repetido aqui. Os veredictos esperados permanecem estáveis. Este é um teste local reproduzível, não um resolvedor SPF completo, implementação DMARC , validador ARC ou teste de um provedor de caixa de correio comercial.
Decida se deseja prosseguir
Referências: RFC 9989 §8.
Crie uma matriz de rotas mostrando o remetente, intermediário, destinatário, variante da mensagem, resultado da autenticação e disposição final testados. Marque as combinações não testadas como desconhecidas. A matriz de amostra deve incluir um controle direto e uma modificação com falha, e não apenas mensagens bem-sucedidas selecionadas após o fato. A falha no rodapé do laboratório é um motivo para reter essa rota para reparo ou uma exceção aprovada separadamente.
Use uma implementação controlada com autoridade de reversão nomeada e monitoramento apropriado ao atraso de relatório do provedor. Não presuma que as receitas históricas da política percentual ainda se aplicam à especificação DMARC atual. Confirme o comportamento atual do receptor e da plataforma e, em seguida, preserve a política antes e depois e a evidência da mensagem. Uma mudança de política é bem-sucedida quando rotas críticas legítimas continuam funcionando e a organização compreende as falhas restantes, e não apenas quando um verificador DNS identifica um valor mais rigoroso.
Rota de encaminhamento controlada mantida
Referências: RFC 7208 §4, RFC 6376 §6, RFC 8601 §5.
A captura retida de 7 de novembro de 2026 às 21:32:53 UTC registra um dispositivo separado enviando a mensagem assinada por meio de conexões SMTP de loopback reais. Essas sessões de rede foram inspecionadas e não executadas novamente para esta revisão. A origem se liga a 127.0.0.2 , o encaminhador envia a partir de 127.0.0.3 e o destinatário final armazena cada mensagem. Esses endereços estão confinados à máquina local. Os casos diretos, de encaminhamento inalterado, de envelope reescrito e de rodapé têm, cada um, um rastreamento de transação real com carimbos de data e hora, identidades de envelope e aceitação final. A reescrita é uma substituição de domínio no estilo SRS para este laboratório, e não uma completa SRS implementação.
Cada limite de recebimento calcula SPF usando pyspf 2.0.14 com respostas TXT locais injetadas explicitamente e DKIM usando dkimpy com a chave pública retida. O receptor adiciona seu próprio Authentication-Results e Campos recebidos após avaliação. Esses resultados são confiáveis apenas dentro deste dispositivo controlado, onde o código de inserção e o limite são conhecidos. Ele não aceita texto de passe incorporado arbitrário como seu próprio veredicto. A política DNS é uma entrada local estática, não uma afirmação sobre DNS público.
No receptor final, os resultados SPF são aprovado, reprovado, aprovado e aprovado, respectivamente. Os resultados DKIM são aprovado, aprovado, aprovado e reprovado. O modelo de alinhamento de domínio exato, portanto, preserva a autenticação DMARC para os três primeiros casos e falha no caso do rodapé. Esta não é uma descoberta completa da política DMARC . O laboratório armazena deliberadamente até mesmo a mensagem de falha para inspeção, portanto sua resposta 250 não é evidência de que um fornecedor de produção obrigatório a entregaria.
O exemplo de exceção e a suspensão de implementação estão vinculados a essa rota histórica do rodapé: a rota inalterada preserva a assinatura, enquanto o rodapé do intermediário controlado a quebra. Mantenha qualquer subsídio não aprovado até que seu real escopo, proprietário, vencimento e comportamento do receptor sejam revisados. Essas transações históricas controladas documentam a comparação da rota local; a compatibilidade do provedor de caixa de correio de produção, a autorização do fluxo de negócios real e qualquer aprovação de exceção operacional permanecem sem execução.