У меня есть личный почтовый сервер, которым я пользуюсь уже много лет; очень редко возникали проблемы с отправкой почты, поэтому я никогда не разбирался в таких вещах, как SPF, DMARC и DKIM. Недавно, при обновлении системы, я решил сделать это.
SPF был очень простым, так как я использую один фиксированный IP-адрес.
DMARC был почти таким же простым; Сначала я настроил это с политикой «нет» для получения отчетов и оставил ее на неделю или две, а затем переключил ее на отклонение.
Теперь я реализовал фильтр подписи DKIM для почтового сервера (Курьер МТА, и нет готового для этого). Для сложных битов я использовал дкимпи. У этого также есть простой инструмент проверки, который работает со всеми сообщениями, выполняет собственный поиск и т. д., что означает, что это фиктивное доказательство в том смысле, что есть только один способ его использования (тогда как подпись может быть настроена различными способами и, возможно, оставляет место для меня, чтобы нагадить). Это передает сообщения, которые, я думаю, должны пройти
и терпит неудачу те, которые, я думаю, не должны, поэтому я достаточно доволен тем, что работает; Я запускал его для сообщений, полученных с сервера. В настоящее время, чтобы свести к минимуму проблемы, я подписываю только тело и заголовок From.
Однако ни одна из моих писем не доходит до моих тестовых учетных записей — одна от Gmail, а другая от моего интернет-провайдера. Более того, хотя теперь у меня в записи DMARC есть адреса rua и ruf, я не получая никаких отчетов для них. Раньше они оба были как часы.
Если все, что я делаю, это отключаю фильтр (поэтому нет знака DKIM), все снова работает. Я проверил, что сервер действительно пытается во всех случаях; неудавшиеся сообщения DKIM, похоже, получили тайм-ауты и закрытые соединения, что привело к бесконечной отсрочке — что само по себе кажется немного странным, поскольку подразумевает, что «отклоненная» почта даже не проверяется, но удаление подписи — это все, что нужно для принять его снова. Я спишу это на двусмысленность в журнале Courier.
Я понимаю, что здесь никто не связан никакими законами, но разве это нормальная политика? Предполагая, что подпись DKIM неверна, не должен ли принимающий сервер отправить мне отчет DMARC об этом?
Так что я в настоящее время ручей. Хотя такие вещи, как MXToolbox, радуют меня, я не нашел бесплатного сервиса, который бы активно проверял подпись DKIM, принимая почту, за исключением одного, который, по-видимому, делал то же, что и другие серверы — никогда не принимал почту, которую должен был проверить. (не знаю, является ли это потенциальной подсказкой).
Вот соответствующие записи DNS из копать землю:
SPF: когнитивный диссонанс.ок. 3600 В TXT "v=spf1 ip4:138.197.150.177 -все"
ДКИМ:
апория._domainkey.cognitivedissonance.ca.3600 IN TXT "v=DKIM1; k=rsa; h=sha256; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAosptGk+J2mdjjc7RWmcnQ3yBqx1JT/lA0bw4GJCzZ+esa0f8rjHhPiW6NnUr64Kf5h0fPEthQhYGTjjw3jAd/3EE28hGA30+jODxEK7A0+5aeI82fWa/ZZk9FvyIhf+UkkX1B0klYhCRW5r91smJ+rwYrr2B6jOrw0DReHTAZ51NACSWI7ov2mA" "UIh2l8blA8hFFBOBwxlzC+smRsYlZCKZfsSMkyS/XIm2m58QNfw/aCHp5VufSrf/hh7f6AGKTgxHfgs+8RBbYdHEM2LAMT +WYsITC3R0OYfgplzWna6PRB9lx+FFzTtT/8XClYfUJ6rwWwM4koeX0yt9gDr/03QIDAQAB"
Обратите внимание, что полное доменное имя почтового сервера aporia.cognitivedissonance.ca и поэтому я использовал апория как селектор DKIM из-за отсутствия воображения. Домен электронной почты просто когнитивный диссонанс.ca. Должен ли я вместо этого использовать полное доменное имя (т. апория._domainkey.aporia.cognitivedissonance.ca)?
DMARC:
_dmarc.cognitivedissonance.ca. 3600 IN TXT "v=DMARC1;p=reject;pct=100;rua=mailto:[email protected],mailto:[email protected];ruf=mailto:[email protected],mailto: [email protected]; "
Есть несколько дополнительных почтовых адресов для службы проверки dmarc, на которую я подписался. К сожалению, они не проверяют подписи DKIM напрямую.
Наконец, пример подписи:
DKIM-подпись: v=1; а=rsa-sha256; c=расслабленный/простой;
d=когнитивный диссонанс.ca; [email protected]; д=днс/текст;
с=апория; т=1650468130; ч = от;
bh=3N81YR+AxHZqpkdMAh4Jti6JpRmUrlzO5bUjUoWdGeg=;
b=kNzUid2LG8TfHoegur3JzlcktiJT+5A1E2en+IlV/GgDMZWL0Ft/4kE02LGFzb2kTMkav
c9jLUqd2+NCrLDzVRBxgwif++vDwoljCI1X0wvbcCqhfA3uElcCuhCAtBkl/ZNqLR0H1Gjq
XXA801KqyVrvottuv0+PmEOvqQ8skTpBvl4Da8JjQ73Zscm3/5Mfk0dGTLlgGNgapszsP9z
nt/1Oi6gzLasX933wIdLZWVex8QNfKr8+MTx6bmpVodaeklR+281u8k1zhCBu5pWrzlavUh
CbWjUm4j3YbeztpG98r9MZOVKbJZyHaiHWcRa1vEq3Cz8AEnRyRkQhd5WtvA==
