摘要

  • DKIM 工作组的 DKIM2 最佳实践草案第 01 版于 2026 年 9 月 9 日上线。它仍是活跃的 Internet-Draft，不是已经发布的 BCP、RFC 或 IETF 退役决定。
  • 草案建议在 DKIM2 “实际普及”前，对外发邮件同时加 DKIM1 与 DKIM2 签名；但没有定义阈值、分母、观察期、群组范围或宣布达标的主体。
  • 接收方可以参考自己每天收到的有无 DKIM2 邮件比例及邮箱用户行为。这能支持本地策略，却不能代表整个邮件生态。
  • 可公开一份聚合、隐私安全的迁移退出记录，写清测量对象、例外、决定与回滚条件。这是 Daniel Kade 的编辑建议，不是草案要求。

一句“实际普及”承载了整只迁移时钟

第 01 版草案于 9 月 9 日发布。变更记录说，它相较第 00 版重新组织、重命名了多节，并因 DKIM2 持续演进及两版之间的时间间隔而进行了大范围改写。Datatracker 页面把它列为 DKIM 工作组文件，工作组状态为 WG Document，IESG 状态为 I-D Exists，尚无 shepherd、负责的 Area Director 或 telechat 日期。

文件页眉写着预期状态 Best Current Practice，而 Datatracker 当前显示 Intended RFC status: None。两项元数据并不一致，但结论很简单：它还不是 BCP，也不是 RFC，更不是全网迁移命令。

第 3.3 节的迁移建议很明确：在 DKIM2 部署达到“实际普及”前，发送方应同时使用 DKIM1 与 DKIM2。模糊处在于终点。草案没有规定普及率，没有说按消息、域名、机构还是完整路径计数，也没有规定地区、业务类型与观察周期。它还没有指派谁能宣布到达终点。

这不必被修补成一个全球统一百分比。邮件系统由许多自主运营者组成，强制单一阈值反而可能抹平本地差异。但当两个运营者先后停止双签时，应当能看出两者是否使用了同一类证据，而不是只看到同一个形容词。

还要避免把两种并行混为一谈。第 3.2 节建议在 DKIM2 内使用不同算法生成多个签名，这是算法冗余；第 3.3 节要求 DKIM1 与 DKIM2 共存，这是协议迁移。同一句“DKIM2 已准备好”无法同时证明两者。

本地百分比并不是生态分母

当邮件没有 DKIM2 签名时，具备 DKIM1 验证能力的接收方应沿用现有 DKIM1 处置策略。草案允许接收方根据每天收到的有无 DKIM2 邮件比例，以及邮箱用户如何对待两类邮件，逐步调整策略。与此同时，在过渡期内，不应仅因缺少 DKIM2 就拒信。

这套安排保护了未采用者与部分采用者，却也意味着“没有 DKIM2”并非单义事件。它可能来自尚未部署的发送方、没有参与的中转系统、合法例外、被移除的签名，或测量与分类错误。

大型公共邮箱、企业网关、邮件列表与区域服务商看到的样本完全不同。按邮件量统计会让少数大规模发送方主导结果；按域名统计又会把巨型平台与小域名等量处理。接收前的反滥用过滤还可能改变分母。每块仪表盘都可以计算正确，却仍然无法回答“全网是否普及”。

因此，接收方百分比只能直接支持接收方自己的决定。如果结论要跨出本地边界，就必须同时公布样本范围、排除项、权重与时间窗。

三种路径状态描述邮件，不描述世界

第 6 节把接收方看到的路径分为三类。Never Left 表示每个参与的管理域都在邮件离开时签名；In and Out 表示有些环节参与、有些没有；Never Entered 表示到达时完全没有 DKIM2 签名。这套分类适合说明一封邮件走过的路，却不是全球部署等级。

中转方在这里尤其关键。参与 DKIM2 的转发系统必须尝试验证已有 DKIM2 与 DKIM1 签名，并对经手的每封邮件加 DKIM2 签名，即便没有修改内容。签名应在邮件离开签名者基础设施前的最后一跳施加。只看起点与终点，就会漏掉决定链条是否完整的中间控制面。

第 7.1 节预计，随着部署成熟，接收方会逐步主要依赖 DKIM2，以免无限期维持两条验证路径。但“成熟”同样没有可复现定义。它说明了方向，没有完成退出测试。

有关 DMARC 与 SPF 的问号章节也不能当作退役计划。草案引言明确说，问号内是工作组尚未解决的问题，文字具有推测性。它讨论 DKIM2 实际普及后 DMARC 的部分功能是否可能变得多余，也承认 SPF 对从未进入 DKIM2 的邮件仍有价值；这不是工作组已决定淘汰任何协议。

共存期让“签名缺席”同时承载兼容与风险

安全章节提出一种降级风险：若路径上的攻击者能移除 DKIM2 签名，而接收方尚未把 DKIM2 设为必需，邮件可能退回较弱的纯 DKIM1 处理。对于平时已知会使用 DKIM2、这次却只带看似合理 DKIM1 的域名，草案建议提高审查强度。

这不是一次已证实攻击，也没有发生率数据。但它揭示了退出指标的不足：从未采用 DKIM2 的域名，与已知采用后突然缺失的域名，不应落入同一个“无 DKIM2”桶。后者才更接近降级监测需要识别的群组。

也因此，退出决定不能默认不可逆。运营者应在变更前写下回滚触发器，例如：已知 DKIM2 域名转为仅 DKIM1 的比例突增、完整链比例下降，或某个例外群组的投递质量恶化。

用小型退出记录代替全球普及证书

我建议每个减少双签或停止并行验证的运营者，保存一份范围明确的记录：

  1. 声明者、其角色及它实际控制的决定；
  2. 纳入评估的发送方、中转方与接收方群组；
  3. 分母、权重、排除项和观察期；
  4. DKIM2 存在、完整链、部分链与缺席比例；
  5. 实际使用的验证结果、投递或用户行为指标；
  6. 已知 DKIM2 域名无 DKIM2 到达的异常；
  7. 仍依赖 DKIM1 的例外对象；
  8. 决策采用的阈值与策略版本；
  9. 决策时间、回滚条件和下次复查日期。

公开版本可以聚合数据，无需披露收件人、个体行为或邮件内容。记录还应把结论标成“本地准备度”“具名互联群组准备度”或“社区汇总证据”，不要用一个普及徽章把三个范围压平。

这与卢恒关于最小初始规范的文章一致：只标准化协作所需的最小证据，把是否采用、何时退出的权力留给承担后果的运营者。

证据边界

文件历史证明版本与流程状态，00 到 01 的官方差异展示文字变化。DKIM2 基础规范与DNS 文档也仍是活跃草案。

现行 RFC 提供 DKIM、SPF、Authentication-Results 与 DMARC 的制度背景，但没有测量 DKIM2 部署。来源中没有具代表性的普及调查、成本总额、攻击统计或退役日期。本文不会据此捏造部署比例或预测任何旧机制的终点。

来源