Кратко

  • Редакция рабочего проекта DKIM2 от 1 ноября добавила Domain Policy Record; в версии от 27 октября его не было.
  • Родитель может указать strict, чтобы подпись субдомена не делала его адрес в From «Authentic». Если флага нет, проект сохраняет разрешающий обратный поиск.
  • Запись размещается в _domainkey самого родителя и не наследуется по DNS-дереву. Временный сбой получения даёт TEMPERROR.

Подрядчик подписывает субдомен. From родителя тоже проходит проверку

Компания делегирует mail.example.com почтовому подрядчику. Подрядчик подписывает письма ключом субдомена. По редакции 09 такая подпись может сделать видимый From с example.com «Authentic». Проект сохраняет описанную в нём практику DKIM1 как исходное правило проверки. Редакция 08 ещё не содержала новой записи политики родительского домена и проверки восходящего совпадения.

Раздел 3.8 даёт родителю право отказа. TXT по адресу _domainkey.example.com начинается с v=DKIM1; необязательный список f= может содержать strict. Тогда субдомены не уполномочены подтверждать From с именем example.com. Без strict, без f= или без записи проект считает их уполномоченными в этом сравнении. Речь о предлагаемом результате DKIM2, а не о пересмотре уже доставленных писем DKIM1.

Раздел 7 сначала сравнивает домен From с d= соответствующей подписи. Если совпадения нет, проверка меняет направление: теперь домен подписи сравнивают с доменом From. Второе направление позволяет подняться от подписи субдомена к родительскому имени в From. Родительский strict обрывает именно этот путь. Подпись самим родителем в обходе не нуждается. Правило действует только для домена, где опубликовано: дочерняя запись не руководит родителем, родительская автоматически не спускается к дочернему имени.

Сбоев тоже два вида. Несколько подходящих записей политики вызывают PERMERROR; временная ошибка DNS при получении — TEMPERROR. Страница IETF по-прежнему считает текст рабочим Internet-Draft группы, I-D Exists. Проверенные документы не дают следа совместимого внедрения нового запрета.