DMARC 汇总报告：对不匹配的域进行对齐检查 PASS

问题描述

我对最近收到的 DMARC 汇总报告感到困惑，我在网上找不到任何类似的内容。

报告称 DKIM、SPF 已通过，并且它们与 From: 标头中的域一致。但这不是我在报告中看到的。具体来说，对于 DKIM：

record.row.identifiers.header_from=mydomain.com

record.row.auth_results.dkim.domain=sendgrid.info

预期： record.row.policy_evaluated.dkim=fail，因为 sendgrid.info 既不是完全匹配，也不是 mydomain.com 的子域。

实际： record.row.policy_evaluated.dkim=pass

完整报告供参考（发送域替换为 mydomain.com 以保护隐私）。

<?xml version="1.0"?>   
<feedback>  
  <report_metadata> 
    <org_name>Yahoo! Inc.</org_name>    
    <email>[e-mail]</email>   
    <report_id>[redacted]</report_id>   
    <date_range>    
      <begin>1616112000</begin> 
      <end>1616198399</end> 
    </date_range>   
  </report_metadata>    
  <policy_published>    
    <domain>mydomain.com</domain>   
    <adkim>r</adkim>    
    <aspf>r</aspf>  
    <p>none</p> 
    <pct>100</pct>  
  </policy_published>   
  <record>  
    <row>   
      <source_ip>149.72.167.211</source_ip> 
      <count>1</count>  
      <policy_evaluated>    
        <disposition>none</disposition> 
        <dkim>pass</dkim>   
        <spf>pass</spf> 
      </policy_evaluated>   
    </row>  
    <identifiers>   
      <header_from>mydomain.com</header_from>   
    </identifiers>  
    <auth_results>  
      <dkim>    
        <domain>sendgrid.info</domain>  
        <result>pass</result>   
      </dkim>   
      <spf> 
        <domain>em[redacted].mydomain.com</domain>  
        <result>pass</result>   
      </spf>    
    </auth_results> 
  </record> 
</feedback> 

解决方法

感谢评论中的 @KasparEtter 指出了正确的方向。事实上，外发电子邮件中有 2 个 DKIM 签名，雅虎在 DMARC 报告中包含了不匹配的签名。

如果将来有人（可能是我自己？?）发现这个，这里是相关的调试信息：

电子邮件标题：

Authentication-Results: mx.google.com;
       dkim=pass header.i=@mydomain.com header.s=s1 header.b=WkAd29;
       dkim=pass header.i=@sendgrid.info header.s=smtpapi header.b=f+gPbe;
       spf=pass (google.com: domain of [e-mail] designates 50.31.63.175 as permitted sender) smtp.mailfrom="[e-mail]";
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=mydomain.com
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=mydomain.com; h=content-type:from:mime-version:reply-to:to:subject; s=s1; bh=NDk3...; b=...
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=sendgrid.info; h=content-type:from:mime-version:reply-to:to:subject:x-feedback-id; s=smtpapi; bh=NDk3...; b=f+ gPbe...

我已将电子邮件发送到 @gmail.com 和 @yahoo.com 邮箱。

来自 Google 的 DMARC 报告：

  <record>
    <row>
      <source_ip>50.31.63.175</source_ip>
      <count>1</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>mydomain.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>mydomain.com</domain>
        <result>pass</result>
        <selector>s1</selector>
      </dkim>
      <dkim>
        <domain>sendgrid.info</domain>
        <result>pass</result>
        <selector>smtpapi</selector>
      </dkim>
      <spf>
        <domain>em0000.mydomain.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>

来自雅虎的 DMARC 报告：

<record>    
    <row>   
      <source_ip>149.72.167.211</source_ip> 
      <count>1</count>  
      <policy_evaluated>    
        <disposition>none</disposition> 
        <dkim>pass</dkim>   
        <spf>pass</spf> 
      </policy_evaluated>   
    </row>  
    <identifiers>   
      <header_from>mydomain.com</header_from>   
    </identifiers>  
    <auth_results>  
      <dkim>    
        <domain>sendgrid.info</domain>  
        <result>pass</result>   
      </dkim>   
      <spf> 
        <domain>em0000.mydomain.com</domain>    
        <result>pass</result>   
      </spf>    
    </auth_results> 
  </record> 

正如您所看到的，来自 Google 的报告正确引用了两个 DKIM 记录。雅虎的报告只包含（错误的）一个。

我尝试通过 [e-mail]（他们在发送的 DMARC 报告中填写的地址）联系雅虎：

Address not found

Your message wasn't delivered to [e-mail] 
because the address couldn't be found,or is unable to receive mail.

雅虎?

2021 年 4 月 27 日更新

我已经联系雅虎报告了这个问题，今天我得到了一个更新，它已经在他们这边得到修复。事实上，现在 DMARC 报告正确地列出了所有 DKIM 记录。