Кратко

  • Редакция 01 проекта DKIM2 Best Practices рабочей группы DKIM стала доступна 9 сентября 2026 года. Это действующий Internet-Draft, а не опубликованный BCP, RFC или решение IETF о выводе прежних механизмов.
  • Отправителям рекомендуется подписывать исходящую почту одновременно DKIM1 и DKIM2, пока DKIM2 не станет «фактически повсеместным». Порог, знаменатель, период, когорты и субъект объявления не определены.
  • Суточная доля писем с DKIM2 и без него помогает конкретному получателю менять собственную политику. Она не описывает отправителей, пересыльщиков и получателей за пределами его наблюдения.
  • Агрегированная запись о выходе может зафиксировать область измерения, исключения, решение и условие отката без единого мирового порога. Это предложение Daniel Kade, а не требование проекта.

У перехода есть формула окончания, но нет часов

Редакция 01 появилась 9 сентября. В списке изменений говорится о перестройке и переименовании разделов и о масштабной правке, вызванной продолжающимся развитием DKIM2 и временем после редакции 00. Datatracker относит документ к рабочей группе DKIM со статусами WG Document и I-D Exists; shepherd, ответственный Area Director и дата telechat не указаны.

В заголовке файла предполагаемый статус назван Best Current Practice, а Datatracker сейчас показывает Intended RFC status: None. Это расхождение метаданных не следует устранять догадкой. Документ пока не стал ни BCP, ни RFC и может измениться, истечь или не продвинуться дальше.

Раздел 3.3 рекомендует сохранять подписи DKIM1 и DKIM2, пока развёртывание DKIM2 не станет effectively ubiquitous. Выражение встречается дважды, но рядом нет процента, даты или окна. Неясно, что считать: сообщения, домены, организации либо полностью подписанные маршруты. Не определено и то, кто вправе зафиксировать достижение состояния.

Единый мировой счётчик не обязательно был бы правильным. Почта децентрализована, а состав трафика и риски операторов различаются. Но децентрализация решения повышает ценность его происхождения: два оператора могут закончить параллельную работу на несовместимых выборках и назвать итог одним словом.

Есть и другая параллельность. Раздел 3.2 советует несколько подписей DKIM2 с разными криптографическими алгоритмами. Это резервирование внутри DKIM2. Сосуществование DKIM1 и DKIM2 — отдельный переход. Готовность к одному не доказывает готовность к другому.

Локальная статистика отвечает на локальный вопрос

Если DKIM2 отсутствует, получатель с поддержкой DKIM1 должен применять прежнюю политику DKIM1. Эту политику можно менять, наблюдая суточную долю писем с DKIM2 и без него и то, как владельцы ящиков взаимодействуют с двумя группами. При этом в переходный период одно лишь отсутствие DKIM2 не должно быть самостоятельной причиной отказа.

Так частичное внедрение не превращается в автоматическую ошибку. Но отсутствие получает несколько объяснений: отправитель ещё не участвует, пересыльщик выпал из цепочки, действует законное исключение, подпись была снята либо измерение неверно классифицировало маршрут.

Крупный потребительский сервис, корпоративный шлюз, список рассылки и региональный провайдер видят разные совокупности. При подсчёте сообщений итог контролируют массовые отправители. При подсчёте доменов исчезает разница масштабов. Если выборка начинается после антиспам-фильтра, отвергнутая часть трафика не попадает в знаменатель.

Следовательно, точный процент не равен репрезентативному проценту. Он может обосновать решение данного получателя. Для более широкой претензии необходимо раскрыть когорту, исключения, способ взвешивания и период.

Три состояния описывают маршрут одного письма

Раздел 6 вводит три условия. Never Left означает, что каждый участвующий административный домен подписал письмо при выходе. In and Out обозначает прерывистое участие. Never Entered — отсутствие DKIM2 при получении. Эта классификация полезна для наблюдаемого маршрута, но не является шкалой всемирного внедрения.

Промежуточные пересыльщики здесь самостоятельны. Участвующий forwarder должен попытаться проверить имеющиеся подписи DKIM2 и DKIM1 и подписать DKIM2 каждое обработанное письмо, даже если содержание не менялось. Подпись ставится на последнем переходе перед выходом из его инфраструктуры. Готовые отправитель и конечный получатель не гарантируют, что середина цепочки готова.

Раздел 7.1 ожидает, что с созреванием внедрения получатели станут преимущественно полагаться на DKIM2 и перестанут постоянно поддерживать два пути проверки. Но критерий зрелости тоже не дан. Описан вектор, а не момент закрытия.

Разделы о DMARC и SPF, заключённые в вопросительные знаки, нельзя читать как календарь вывода. Во введении сказано, что это нерешённые вопросы рабочей группы, а текст носит спекулятивный характер. Редакция рассматривает возможности и не объявляет конец DKIM1, DMARC или SPF.

Исчезновение подписи у известного участника — отдельный сигнал

Раздел безопасности описывает риск downgrade в период сосуществования. Если участник на пути способен убрать подпись DKIM2, получатель, который ещё не сделал её обязательной, может вернуться к более слабой обработке только по DKIM1. Проект советует внимательнее относиться к письму от домена, обычно использующего DKIM2, если оно приходит с правдоподобной DKIM1, но без DKIM2.

Источники не подтверждают конкретную атаку и не дают частоту. Однако пример показывает, почему одной категории «без DKIM2» мало. Домен, никогда не замеченный с DKIM2, и домен с устойчивой историей, у которого подпись внезапно исчезла, несут разные сигналы.

Поэтому выход должен сразу проектироваться как обратимый. Рост известных DKIM2-доменов, приходящих только с DKIM1, снижение доли полных цепочек или ухудшение доставки в группе исключений могут быть триггерами. Их надо определить до изменения политики.

Ограниченная запись о выходе вместо мировой печати

Я не предлагаю единый процент повсеместности. Для каждого оператора и каждого сокращения параллельного режима нужна запись со следующими полями:

  1. заявитель, его роль и контролируемое решение;
  2. оценённые когорты отправителей, пересыльщиков и получателей;
  3. знаменатель, вес, исключения и окно наблюдения;
  4. доли присутствия DKIM2, полной цепочки, частичной цепочки и отсутствия;
  5. реально использованные результаты проверки, доставки или взаимодействия;
  6. известные DKIM2-домены, пришедшие без DKIM2;
  7. группы исключений, всё ещё зависящие от DKIM1;
  8. порог и версия политики;
  9. время решения, триггер отката и дата следующего пересмотра.

Публичная версия может быть агрегированной. Адреса получателей, индивидуальное поведение и содержимое сообщений не нужны. Зато должна сохраняться метка масштаба: локальная готовность, названная группа межсоединений или более широкие данные сообщества.

Подход следует логике минимальной начальной спецификации из эссе Heng Lu: общим делается минимальный набор доказательств для координации, а добровольный выбор остаётся у тех, кто несёт последствия.

Граница доказательств

История документа подтверждает редакции и процесс, а официальное сравнение 00–01 показывает масштаб правки. Базовая спецификация DKIM2 и DNS-документ тоже остаются проектами.

Действующие RFC задают контекст DKIM, SPF, Authentication-Results и DMARC, но не измеряют DKIM2. В источниках нет репрезентативной переписи, общей стоимости, измеренной атаки или даты отключения. Статья не выводит из них долю внедрения и срок завершения.

Источники