Resumo

  • A versão 09 do projeto DKIM2, de 1º de novembro, acrescenta um registro de política do domínio. A versão 08, de 27 de outubro, não tinha esse controle.
  • O domínio pai pode publicar strict para impedir que um subdomínio assinante torne “Authentic” o From que usa o nome do pai. Sem o sinalizador, o projeto permite a correspondência ascendente.
  • A política fica em _domainkey do próprio domínio pai e não se propaga pela árvore DNS. Falha temporária na consulta resulta em TEMPERROR.

O fornecedor recebeu a portaria dos fundos

Uma empresa entrega mail.example.com a um fornecedor de envio. Ele passa a controlar a assinatura do subdomínio. Pela versão 09 do projeto, essa assinatura também pode ajudar a tornar “Authentic” o endereço example.com mostrado no From. Os autores dizem preservar uma prática de DKIM1 para não romper delegações existentes. A versão 08 ainda não trazia o novo registro nem a verificação ascendente correspondente.

A seção 3.8 dá ao pai uma forma de dizer não. Um TXT em _domainkey.example.com começa com v=DKIM1 e pode incluir o sinalizador strict na lista f=. Com ele, subdomínios não são autorizados a autenticar um From que use example.com. Sem strict, sem f= ou sem registro, a proposta mantém a autorização. A regra descreve o teste de From “Authentic” do futuro DKIM2; ela não altera retroativamente mensagens já entregues por DKIM1.

A seção 7 mostra onde o freio atua. Primeiro, o verificador compara o domínio do From ao d= da assinatura relevante. Se não houver correspondência, inverte a ordem. Essa segunda tentativa pode subir do subdomínio assinante ao nome pai visível. O strict do pai interrompe apenas esse caminho. Uma assinatura do pai exato não precisa dele. A política não é herdada: o TXT de um filho não decide pelo pai, nem o do pai se aplica automaticamente a cada filho.

O DNS também pode recusar uma resposta simples. Mais de um registro de política válido produz PERMERROR; uma falha temporária de consulta produz TEMPERROR. A ficha do IETF mantém a versão 09 como Internet-Draft de grupo de trabalho, I-D Exists. As fontes consultadas não trazem prova de implantação interoperável desse controle.