Ett försenat meddelande kan misslyckas en tidsrelaterad DKIM kontrollera även när ingen ändrat innehållet. Diagnostisera signaturens tidsfält och verifierarens beslut innan du roterar nycklar eller skyller på en gateway. Meddelandet Datumhuvud, tidpunkt för skapande av signatur och mottagarens ankomsttid beskriver olika händelser.
Läs t och x korrekt
I en DKIM-Signature header, t är signaturens skapande tidsstämpel och x är den absoluta utgångstidsstämpeln, båda uttryckta som sekunder sedan Unix-epoken i UTC. RFC 6376 avsnitt 3.5 markerar formellt att båda taggarna REKOMMENDERAS. De kan vara frånvarande, men denna ersättning ska inte förväxlas med en VALFRITT kravnivå. X-värdet är inte en varaktighet att lägga till den aktuella tiden. När båda är närvarande måste x vara större än t. Saknas t betyder en okänd skapelsetid; saknas x betyder att ingen signatur utgångsdatum anges av den taggen. DNS TTL är ett annat koncept och sätter inte x. t-taggen i en DNS DKIM nyckelpost är en uppsättning flaggor, inte denna signaturtidsstämpel.
RFC 6376 avsnitt 3.5 tillåter implementeringar att ignorera en signatur med en framtida tidsstämpel. Det tillåter också att en signatur anses ogiltig när verifieringen har gått ut. För jämförelsen bör verifieringstiden vara när verifierarens administrativa domän först tog emot meddelandet om det är tillförlitligt tillgängligt, annars aktuell tid. Detta lämnar implementeringsval som en incidentpost måste skilja från en universell avvisningsregel.
Bygg en tidslinje med tre klockor
Fånga den exakta signaturen och råa mottagarbevis. Konvertera t och x till läsbar UTC samtidigt som de ursprungliga heltalen behålls. Spela in undertecknarens klocka, första tillförlitliga mottagningstiden på den verifierande administrativa domänen och tidpunkten för den diagnostiska återkontrollen. Lägg till relevanta köförseningar. Använd inte en otillförlitlig Date-rubrik som bevis på när ett system tog emot ett meddelande.
Illustrativt scenario: en signatur skapas kl. 10:00 UTC med utgången kl. 12:00 UTC. Meddelandet når mottagaren kl 11:50 men granskas igen kl 12:15. En verifierare med tillförlitlig information om första kvittot kan använda 11:50; ett senare fristående verktyg kanske bara har sin nuvarande tid. Olika resultat visar inte i sig skadat innehåll. Exemplet beskriver protokollets tidsskillnad, inte ett löfte om en viss leverantör.
Skilj klockskev från ett tätt fönster
Om nyligen utsända signaturer verkar komma från framtiden, inspektera undertecknarens klocksynkronisering och tidsstämpelgenerering. Om värdena är vettiga men posten kommer regelbundet efter x, undersök köbildning, försök igen rutter och det valda giltighetsintervallet. RFC 6376 föreskriver inte en universell ideal livslängd. Ställ in en med dina faktiska leveranskrav och undertecknarinställningar som stöds.
En kort utgång är inte ett komplett reprisförsvar. RFC 6376 avsnitt 3.5 säger uttryckligen att x inte är avsedd för det ändamålet. Det ersätter inte heller nyckelskydd eller övervakning av missbruk. Att ta bort en gammal offentlig nyckel kan göra fördröjd verifiering omöjlig oberoende av x, så samordna utgångspolicyn med nyckellagring.
Testa reparationen och behåll distinktionen
Efter att ha korrigerat klock- eller policykonfigurationen, skicka nya kontrollerade meddelanden genom de långsamma och normala vägarna. Verifiera deras tidsstämplar och mottagarresultat. Bevara bevis som visar om det tidigare felet gällde tid, nyckeltillgänglighet, body hash eller signaturverifiering. Redigera inte t eller x på ett befintligt signerat meddelande: dessa värden täcks av signaturen och att ändra dem är inte en reparation.
Arbeta ett epokexempel
Syntetiska värden t=1794132000 och x=1794139200 motsvarar 8 november 2026 kl. 10.00 UTC och 12.00 UTC. Deras skillnad är 7 200 sekunder, eller två timmar, men x i sig förblir en absolut tidsstämpel. Ett tillförlitligt första kvitto kl. 11:50 är före utgången; en fristående omkontroll klockan 12:15 är efter den. Verifierarens valda referenstid och tillåtna utgångshantering förklarar den möjliga skillnaden. Däremot bryter x=t mot den obligatoriska ordningen när båda taggarna finns. Dessa värden illustrerar aritmetiska och protokollregler, inte ett kört e-posttest.
Håll en kompakt utredningsjournal
Använd detta föreslagna arbetsblad för rutten som granskas. Det är ett planeringshjälp, inte bevis på ett utfört test.
- Signatur: ursprungliga t- och x-värden, deras UTC-omvandlingar, d och väljare.
- Tidslinje: undertecknarklocka, först tillförlitligt kvitto och senare omkontroll, med tidszoner.
- Hitta: framtida tidsstämpel, utgången signatur, otillgänglig nyckel eller annat verifieringsfel.
- Reparation: stödd klocka eller livstidsändring och resultat från nyligen skickade normala och fördröjda tester.