Ett vidarebefordrat meddelande kan vara legitimt och fortfarande misslyckas DMARC. Den sista mottagande servern utvärderar anslutningen och meddelandet som den faktiskt tar emot, inte avsändarens avsikt eller resultatet av en tidigare leverans. Den användbara frågan är vilken autentiserad identitet som fortfarande är i linje med den synliga From-domänen efter vidarebefordran. Bevara den distinktionen innan du överväger ett policyundantag.
Konstruera om rutten
Referenser: RFC 8601 §1.2, RFC 8601 §5.
Samla in det ursprungliga råmeddelandet, det vidarebefordrade råmeddelandet, tidsstämplar, vidarebefordringskonfiguration och mottagargenererade autentiseringsresultat. Håll SMTP kuvertet separat från de synliga rubrikerna: ett sparat meddelande bevarar inte nödvändigtvis kuvertet som används vid varje hopp. Skaffa spårbevis från de system som är ansvariga för dessa humle. Behandla inte en insatt avsändare Authentication-Results fältet som en betrodd mottagarobservation. RFC 8601 förklarar den gränsen.
Märk den ursprungliga avsändaren, mellanhand och slutmottagare. Spela sedan in den anslutande IP-adressen, kuvertdomänen, synlig från domän och varje DKIM signeringsdomän vid varje tillämplig utvärderingspunkt. Ett ruttdiagram är endast användbart om det återspeglar observerade överföringar. En okänd hop förblir okänd snarare än att tilldelas ett antaget autentiseringsresultat.
Identifiera den överlevande vägen
Referenser: RFC 7208 §2.3, RFC 9989 §4.4, RFC 9989 §5.3.5, RFC 6376 §3.4.
SPF bedömer det anslutande systemet mot en kuvertidentitet. Vid den slutliga mottagaren kan en vidarebefordringsserver vara utanför den ursprungliga kuvertdomänens behörighet. En bevarad DKIM signatur kan fortfarande tillhandahålla ett anpassat pass eftersom verifieringen är kopplad till det signerade meddelandet och signeringsdomänen. Omskrivning av innehåll kan ta bort den återstående sökvägen. DMARC behöver ett anpassat autentiserat resultat, inte bara något SPF eller DKIM pass. RFC 9989, RFC 7208 och RFC 6376 definiera dessa separata kontroller.
Ett SRS-omskrivet kuvert kan passera SPF för speditörens domän utan att stämma överens med den ursprungliga författarens From-domän. En ny signatur från samma speditör har den analoga begränsningen. Ingen av observationerna betyder att meddelandet nödvändigtvis är skadligt och inte heller automatiskt reparerar författarens anpassade autentisering.
Kör det avgränsade exemplet
Referenser: RFC 9989 §4.4, RFC 9989 §5.3.5.
Den bibehållna modellen för strikt anpassning kan inspekteras separat från SMTP insamlingen. Direktväskan levererar anpassade SPF och DKIM pass. Det bevarade vidarebefordrande fodralet ger SPF fel och anpassad DKIM framgång, så den strikta anpassningsmodellen klarar fortfarande. Fotfodralet tillhandahåller fel för både vägar och misslyckanden. De SRS fall isolerar hur en framgångsrik men oansluten SPF identitet inte ändrar något av det resonemanget.
Dessa booleaner är avsiktliga indata, inte resultat av live DNS frågor eller verifiering av kryptografisk signatur. De genererade råmeddelandena är syntetiska och togs aldrig emot. De illustrerar en kontrollerad kroppsförändring men uppfyller inte kravet på verkliga ursprungliga och vidarebefordrade meddelanden med tillförlitliga resultat. Den bibehållna SMTP laboratoriedelen nedan tillhandahåller historiska lokalt mottagna bevis; externa produktionsbevis förblir öppna.
Reparera den smala orsaken
Referenser: RFC 9989 §7.4.
Be mellanhanden att bevara signerat innehåll där så är möjligt och verifiera signeringsplacering i ursprungstjänsten. Testa en representativ auktoriserad rutt innan du ändrar policy för bred domän. Om en mottagare tillämpar ett lokalt undantag, behåll dess omfattning, ägare, utgångsdatum och oberoende filtreringskrav. Leverans under undantag är inte ett DMARC pass.
Avsluta utredningen först när förlorad väg, gjord ändring och observerat mottagarbeslut dokumenteras separat. Testa om periodiska arbetsflöden och lågvolymer samt den uppenbara dagliga vägen. En organisationsövergripande övergång till övervakning enbart för att dölja ett vidarebefordranfel kan minska skyddet för icke-relaterad post utan att åtgärda mellanhanden.
Behåller SMTP laboratoriebevis
Referenser: RFC 7208 §4, RFC 6376 §6.
Den bibehållna insamlingen daterad 7 november 2026 kl. 21:29:16 UTC registrerar att loopback-mottagaren fångade direkta, bevarade vidarebefordran och sidfotsmodifierade meddelanden över faktisk SMTP . Den observerade peer 127.0.0.2 för ursprungsanslutningen och 127.0.0.3 för vidarebefordranslutningen. pyspf utvärderade dessa IP:er mot isolerad fixtur DNS ; dkimpy verifierade faktiska RSA-signaturer. Det direkta fallet klarade båda kontrollerna, den bevarade vidarebefordrade kopian misslyckades SPF men klarade justerad DKIM och sidfotskopian misslyckades båda. Mottagargenererade Authentication-Results och kompletta råmeddelanden bevaras tillsammans med kuvert och SHA-256-värden.
Den historiska löparen och de behållna meddelandena inspekterades för denna revidering; nätverksexperimentet kördes inte igen. Dess ursprungliga exekvering använde endast loopback och skickade ingen internetpost. Dess mottagare skapar Authentication-Results från sina egna kontroller, vilket ger dessa fält känd laboratoriehärkomst. Autentiseringsresultat och disposition förblir separata: alla sex SMTP prover får 250 under en explicit insamlingspolicy, inklusive misslyckade prover. Förtroendegränsen är detta kontrollerade laboratorium, inte en produktionsbrevlådeleverantör. DNS adaptern tillhandahåller behållna fixtursvar snarare än att fråga offentlig DNS , och DMARC -utvärderaren använder endast strikt domänlikhet. Fullständig upptäckt av organisationsdomäner, analys av produktionspolicy och realtidsdistribution förblir oprövade.