(ทำไม) เซิร์ฟเวอร์อีเมลจะหยุดส่งรายงาน DMARC เนื่องจาก DKIM หรือไม่

ฉันมีเซิร์ฟเวอร์อีเมลส่วนตัวที่ฉันใช้งานมาหลายปี ไม่ค่อยมีปัญหาในการส่งจดหมาย ดังนั้นฉันจึงไม่เคยทันกับสิ่งต่างๆ เช่น SPF, DMARC และ DKIM เลย เมื่อเร็วๆ นี้ ขณะที่กำลังอัปเกรดระบบ ฉันตัดสินใจทำสิ่งนี้

SPF นั้นง่ายมาก เนื่องจากฉันใช้ที่อยู่ IP เดียวที่คงที่

DMARC เกือบจะเรียบง่าย ในตอนแรกฉันตั้งค่านี้ด้วยนโยบาย "ไม่มี" เพื่อรับรายงาน และปล่อยทิ้งไว้หนึ่งหรือสองสัปดาห์ จากนั้นเปลี่ยนเป็นปฏิเสธ

ตอนนี้ฉันได้ใช้ตัวกรองการลงนาม DKIM สำหรับเซิร์ฟเวอร์อีเมล (จัดส่ง MTAและไม่มีไม่มีพร้อมสำหรับสิ่งนี้) สำหรับบิตที่ซับซ้อนที่ฉันใช้ มืดมน. นอกจากนี้ยังมีเครื่องมือยืนยันอย่างง่ายที่ใช้งานได้กับข้อความทั้งหมด มีการค้นหาเองหรือไม่ ฯลฯ ซึ่งหมายความว่าเป็นการพิสูจน์หลอกๆ ว่ามีวิธีเดียวที่จะใช้ (ในขณะที่การเซ็นชื่อสามารถกำหนดค่าได้หลายวิธี และอาจปล่อยให้ ที่ว่างสำหรับฉันที่จะโคลนมันขึ้น) สิ่งนี้ส่งผ่านข้อความที่ฉันคิดว่าควรผ่าน และล้มเหลวในสิ่งที่ฉันคิดว่าไม่ควร ดังนั้นฉันจึงพอใจพอสมควรที่ได้ผล ฉันเรียกใช้บนข้อความที่ได้รับจากเซิร์ฟเวอร์ ขณะนี้ เพื่อลดปัญหา ฉันเซ็นชื่อเฉพาะส่วนเนื้อหาและส่วนหัวจาก

อย่างไรก็ตาม ไม่มีจดหมายใดของฉันถูกส่งไปยังบัญชีทดสอบของฉัน -- ฉบับหนึ่งคือ gmail และอีกฉบับมาจาก ISP ของฉัน ยิ่งไปกว่านั้น แม้ว่าตอนนี้ฉันมีทั้งที่อยู่ใน rua และ ruf ในบันทึก DMARC แต่ฉัน ไม่ได้รับรายงานใด ๆ สำหรับพวกเขา. ก่อนหน้านี้พวกเขาทั้งคู่เป็นเหมือนเครื่องจักร

ถ้าทั้งหมดที่ฉันทำคือปิดตัวกรอง (ไม่มี DKIM sig) ทุกอย่างทำงานได้อีกครั้ง ฉันได้ตรวจสอบแล้วว่าเซิร์ฟเวอร์กำลังพยายามจริงในทุกกรณี DKIM ที่ล้มเหลวดูเหมือนจะได้รับการหมดเวลาและการเชื่อมต่อที่ปิดลง ส่งผลให้มีการเลื่อนเวลาออกไปอย่างไม่มีที่สิ้นสุด -- ซึ่งทั้งหมดนี้ดูแปลกไปสักหน่อย เนื่องจากมันบ่งบอกว่าจดหมาย "ถูกปฏิเสธ" ไม่ได้รับการตรวจสอบ แต่การลบลายเซ็นก็เพียงพอแล้ว ได้รับการยอมรับอีกครั้ง ฉันจะใส่ความกำกวมในการบันทึกของ Courier

ฉันรู้ว่าไม่มีใครผูกพันตามกฎหมายใด ๆ ที่นี่ แต่นั่นเป็นนโยบายปกติหรือไม่? สมมติว่าลายเซ็น DKIM ไม่ถูกต้อง เซิร์ฟเวอร์ที่รับข้อมูลควรส่งรายงาน DMARC ให้ฉันหรือไม่

ตอนนี้ฉันกำลังขึ้นลำห้วย แม้ว่าสิ่งต่าง ๆ เช่น MXToolbox จะให้สีสันแก่ฉัน แต่ฉันไม่พบบริการฟรีที่ทดสอบลายเซ็น DKIM โดยรับเมลยกเว้นอันเดียว ซึ่งดูเหมือนว่าจะทำเหมือนที่เซิร์ฟเวอร์อื่นทำ - ไม่ยอมรับเมลที่ควรทดสอบ (ไม่ทราบว่านี่เป็นเงื่อนงำที่เป็นไปได้)

นี่คือระเบียน DNS ที่เกี่ยวข้องจาก ขุด:

• เอสพีเอฟ: cognitivedissonance.ca. 3600 IN TXT "v=spf1 ip4:138.197.150.177 -ทั้งหมด"

• ดีคิม:

    aporia._domainkey.cognitivedissonance.ca.3600 IN TXT "v=DKIM1; k=rsa; h=sha256; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAosptGk+J2mdjjc7RWmcnQ3yBqx1JT/lA0bw4GJCzZ+esa0f8rjHhPiW6NnUr64Kf5h0fPEthQhYGTjjw3jAd/3EE28hGA30+jODxEK7A0+5aeI82fWa/ZZk9FvyIhf+UkkX1B0klYhCRW5r91smJ+rwYrr2B6jOrw0DReHTAZ51NACSWI7ov2mA" "UIh2l8blA8hFFBOBwxlzC+smRsYlZCKZfsSMkyS/XIm2m58QNfw/aCHp5VufSrf/hh7f6AGKTgxHfgs+8RBbYdHEM2LAMT +WYsITC3R0OYfgplzWna6PRB9lx+FFzTtT/8XClYfUJ6rwWwM4koeX0yt9gDr/03QIDAQAB"
  

  โปรดทราบว่า FQDN ของเมลเซิร์ฟเวอร์คือ aporia.cognitivedissonance.ca ดังนั้นฉันจึงใช้ อาโปเรีย ในฐานะตัวเลือก DKIM เนื่องจากขาดจินตนาการ โดเมนอีเมลเป็นเพียง cognitivedissonance.ca. ฉันควรใช้ FQDN แทน (เช่น aporia._domainkey.aporia.cognitivedissonance.ca)?

• ดีมาร์ค:

    _dmarc.cognitivedissonance.ca. 3600 IN TXT "v=DMARC1;p=reject;pct=100;rua=mailto:[email protected],mailto:[email protected];ruf=mailto:[email protected],mailto: [email protected]; "
  

  มี mailto พิเศษบางอย่างที่นั่นสำหรับบริการตรวจสอบความถูกต้องของ dmarc ที่ฉันสมัครใช้งาน น่าเสียดายที่พวกเขาไม่ได้ทดสอบลายเซ็น DKIM โดยตรง

สุดท้าย ตัวอย่างของลายเซ็น:

DKIM-ลายเซ็น: v=1; a=rsa-sha256; c=ผ่อนคลาย/เรียบง่าย;
 d=cognitivedissonance.ca; [email protected]; q=dns/txt;
 s=อาโปเรีย; t=1650468130; ชั่วโมง=จาก;
 bh=3N81YR+AxHZqpkdMAh4Jti6JpRmUrlzO5bUjUoWdGeg=;
 b=kNzUid2LG8TfHoegur3JzlcktiJT+5A1E2en+IlV/GgDMZWL0Ft/4kE02LGFzb2kTMkav
 c9jLUqd2+NCrLDzVRBxgwif++vDwoljCI1X0wvbcCqhfA3uElcCuhCAtBkl/ZNqLR0H1Gjq
 XXA801KqyVrvottuv0+PmEOvqQ8skTpBvl4Da8JjQ73Zscm3/5Mfk0dGTLllgNgapszsP9z
 nt/1Oi6gzLasX933wIdLZWVex8QNfKr8+MTx6bmpVodaeklR+281u8k1zhCBu5pWrzlavUh
 CbWjUm4j3YbeztpG98r9MZOVKbJZyHWcRa1vEq3Cz8AEnRyRkQhd5WtvA==