Ett universitet kan ha hälsosam central personalpost medan en alumni-speditör eller institutionslista misslyckas hos mottagaren. Dessa rutter ändrar olika delar av ett meddelande. En speditör ändrar leveransvägen och kan göra SPF olämplig för den ursprungliga domänen; en lista kan lägga till en sidfot eller skriva om ett ämne, vilket kan bryta en signatur. Diagnostisera den faktiska omvandlingen snarare än att ge varje campus relä bred auktoritet.
Följ tre akademiska vägar
Tilldela fakultetsansökan till fakultetens IT, alumnexpeditören till alumntjänstledaren och institutionslistan till dess listadministratör. Registrera den ursprungliga författardomänen, utgående kuvertdomän, signeringsdomän, mellanvärd och slutlig mottagare. Fånga ett originalmeddelande och en kopia efter mellanhänder för samma fiktiva händelsemeddelande. Behåll den slutliga mottagarens betrodda autentiseringsresultat där de är tillgängliga, inte en rubrik som kopierats från ett opålitligt uppströmsmeddelande.
För en fakultetsansökan, testa själva systemet istället för att skicka ett manuellt meddelande från en professors brevlåda. Inkludera terminsstartautomation och servicekonton. För alumner, testa både direktleverans och vidarebefordran till ett konto som kontrolleras av testteamet. För en lista, jämför ett oförändrat inlägg med ett inlägg som tar emot den konfigurerade sidfoten. Inaktivera inte användbara listfunktioner utan att kontrollera medlemmarnas förväntningar och tillgänglighetsbehov.
Förklara den överlevande autentiseringsvägen
En bevarad linjerad DKIM signatur kan fortsätta att stödja DMARC efter vidarebefordran även när SPF inte längre gör det. Om speditören ändrar en signerad text eller rubrik, kan just den signaturen misslyckas. SPF framgång för ett omskrivet speditörskuvert överensstämmer inte automatiskt med den ursprungliga författarens Från-domän. RFC 7960 dokumenterar problem med indirekt post. ARC , definierad i RFC 8617, kan bära autentiseringsbedömningar mellan mellanhänder, men acceptans beror på mottagarutvärdering och förtroende; det är inte ett universellt åsidosättande.
För det skrivna sidfoten nedan, anta att den ursprungliga signaturen täcker hela kroppen utan en l=-gräns, och den tillagda icke-tomma sidfoten ändrar de kanoniserade signerade byten. Under dessa antaganden originalet body hash inte längre matchar. Detta är protokollresonemang, inte ett utfört signeringstest; Ändringar med endast blanksteg kan bete sig annorlunda under kanonisering.
Välj en begränsning för varje rutt
Om möjligt, bevara signerat innehåll genom enkel vidarebefordran. Om en lista måste omvandla meddelandet, utvärdera det listbeteende som stöds, inklusive en listaägd From-identitet och ett lämpligt svar-till-arrangemang. Sådan omskrivning förändrar identiteten som är synlig för läsarna, så testa svar, moderering, arkiv och tillgänglighet innan du antar den. Förfalska inte en originalförfattares signatur eller anta att en universitetsomfattande SPF post fixar liständringar.
Registrera ett undantag med ägare, granskningsdatum och påverkad mottagarpopulation om en rutt som stöds ännu inte kan uppfylla den avsedda policyn. Övervaka faktiska fel separat från direktreklam från fakulteten. Student- och alumndataåtkomst, registerlagring och samtyckesregler förblir en separat institutionell granskning; Protokollvalidering är inte laglig eller utbildningspolitisk efterlevnad.
Jämför tre vidarebefordranstillstånd
Detta är skrivna premisser för reviewer@recipient.test , inte skickade meddelanden eller tester. Alla domäner och ägare är fiktiva.
- Direkt fakultetsväg: Från faculty.campus.test, MAIL FRÅN fakultet.campus.test, DKIM d=faculty.campus.test with väljare demo1; anta DKIM pass. SPF okänd. Den angivna DKIM sökvägen är exakt justerad. Fakultetens IT äger själva applikationstestet.
- Alumner framåt: Från alumni.campus.test förblir oförändrad; final-hop MAIL FROM blir relay.forwarder.test med föreskrivet SPF pass. Original DKIM d=alumni.campus.test, selector demo1, förutsätts vara giltigt. Omskriven SPF är inte relaterad till From, men den bevarade justerade DKIM tillhandahåller fortfarande en mekanismväg. Alumnitjänsten äger final-hop-observation och vidarebefordran.
- Institutionslista: Från faculty.campus.test, original DKIM d=faculty.campus.test, selector demo1; anta fullkroppssignatur utan l= och en sidfot som ändrar kanoniserade byte. Den ursprungliga signaturen förväntas misslyckas. MAIL FROM relay.list.test är stipulerat SPF godkänt och är inte relaterat till From. Andra signaturer och ARC bevis är okända, så dra inte slutsatsen om det fullständiga mottagarens beslut. Listägaren måste inspektera omvandlingar som stöds och slutliga betrodda resultat.
Ingen faktisk policysökning, nyckelvalidering, ARC kedja eller mottagarobservation tillhandahålls. En giltig ARC kedja, om den senare erhålls, skulle fortfarande kräva mottagarens förtroendebedömning snarare än att automatiskt återställa den ursprungliga DKIM signaturen.
Välj ett begränsat begränsningsbeslut
För fiktiv lista EDU-01, jämför bevarande av signerat innehåll med en lista som ägs av From-omskrivning som stöds. Omskrivning till lists.campus.test kräver en faktisk anpassad autentiseringsväg för den nya identiteten och separata kontroller för svar, moderering, arkiv och tillgänglighet. En ny signatur för det omskrivna meddelandet reparerar inte den ursprungliga signaturen. Med mottagarens bevis frånvarande, märk förslaget som overifierat och behåll dess ägare och granskningsdatum; gör inte anspråk på en korrigering för hela campus.
Håll bevisgränserna tydliga
RFC 9989 Avsnitt 4.4 och 5.3.5 särskiljer autentisering och inriktning; Avsnitt 5.4 överlåter meddelandehantering till mottagarpolicy. Avsnitt 7.4 kräver giltig DKIM snarare än SPF enbart för domänpublicering p=reject och varnar för avvisande för domäner vars användare skickar till Internet-e-postlistor. Täckta kanoniserade bytes bestämmer DKIM integriteten enligt RFC 6376 avsnitt 3.4–3.7 och 6.1. Ingen av mekanismerna validerar klinisk, utbildningsmässig eller juridisk auktoritet. Samla in auktoriserade aktuella bevis för en faktisk implementering; de operativa checklistorna här är rekommendationer, inte en jurisdiktionsspecifik efterlevnadsbedömning.