摘要

  • 修订版 00 建议用一个机器可读结果概括整条 DKIM2 保管链，并用 header.d 指出起始签名域、用 header.i 定位部分失败。
  • 该结果不受 DKIM2 签名保护，只在生成它的管理域内有意义；转发者不得把旧结果复制给下游当作证明。
  • 非 pass 状态下出现的 header.d 可以帮助排障，却未必是经过认证的身份；逐跳注释是受攻击者影响的人读文本，不是策略接口。

最容易出错的不是验签失败，而是验签成功以后。入口网关核验 DKIM2 链，写下 dkim2=pass，再把邮件转交给另一家机构。如果后者直接相信这行字，它相信的是前一家网关留下的便笺，不是自己复核过的签名链。

9 月 5 日公布的修订版 00专门处理这层差别。DKIM2 的签名描述邮件经过谁、发生了什么变化；Authentication-Results 则在验证完成后，把结果交给同一管理域里的过滤器、投递代理或客户端。可复核证据与本地报告不是同一个对象。

这仍是一份个人 Internet-Draft。Datatracker API 记录没有赋予它 IETF 认可或正式标准地位；XML 原稿固定了本次文本，I-D 公告记录了发布日期、作者与摘要。“拟采用 Standards Track”是目标，不是已经完成的程序事实。

底层DKIM2 工作组草案第 06 版给出 PASS、FAIL、PERMERROR 和 TEMPERROR 四种验证输出。新草案把它们映射进 RFC 8601 的格式，并增加 none，表示邮件没有 DKIM2 签名，因此根本没有尝试验证。底层文件的Datatracker API 记录属于工作组文档；不能用它的程序身份替新报告草案背书。

DKIM1 可以为多枚彼此独立的签名分别报告结果。这里的 DKIM2 只报告一次，因为判断对象是整封邮件的保管链。验证者从编号最大的最新签名向前检查，遇到故障可以停止。尚未检查的低编号签名可以在注释里标成 skipped。它们没有失败，但也没有通过。

这种部分检查给 header.d 加上了严格条件。该属性取自 i=1 起始签名的 d= 域名。草案允许它出现在 fail、permerror 或 temperror 旁边，方便人定位问题；只有整体结果为 pass 时，它才是已认证身份。把 header.d 抽进信誉库而丢掉相邻状态，就会把“看到了一个值”升级成“证明了一个身份”。

header.i 的风险更像数据建模错误。在 DKIM2 中，它是失败签名的序号；在 DKIM1 中，同名属性却是 Agent or User Identifier。没有认证方法名作类型限定，同一列里会混入整数位置与身份字符串。分析系统不能把字段拼写当成跨协议语义。

整个报告字段的信任来源由 RFC 8601限定。Administrative Management Domain（ADMD）把验证组件和使用结果的组件放在一条可信内部路径上。外部邮件也可以自带伪造的 Authentication-Results。边界 MTA 必须清除那些声称来自本域、实际却从不可信路径进入的实例，再添加自己的结果。

authserv-id 只标明“谁声称做过验证”，并不对这项声称签名。可信度来自本地配置、受控路径和入口清洗。DKIM2 还明确把 Authentication-Results 排除在签名字段之外，因为它在验证之后生成，也经常在信任边界被移除。因此任何处理邮件的系统都能改写或删除它，而 DKIM2 不会报警。

即使报告真实，也不能带到下一跳继续使用。最新 DKIM2 签名绑定的是当前接收事务看到的 MAIL FROM 与 RCPT TO。一次 pass 只说明链条到这名验证者为止、在这次 SMTP 交付中通过。转发会建立新的事务。转发者若要让自己的处理可核验，应增加自己的 DKIM2 签名；下游重新验证整条链，再生成属于自己的本地报告。

这项规定把“可传递证据”与“不可传递判断”分开。签名链能让另一方重新计算；复制来的绿色状态无法说明采用了哪组密钥、哪个信封、哪个软件版本，也无法覆盖转发后新增的变化。

逐跳细节被放进注释：签名序号、域名、结果以及故障文字。草案明确允许合规解析器丢弃注释，因此自动化不得依赖其存在或内部格式。机器只应读取定义好的总体结果与属性。

注释还包含由发件人或中间系统影响的值。按照 RFC 5322，圆括号和反斜线具有语法意义，必须转义；实现还应限制长度，把显示内容当作不可信纯文本。否则攻击者控制的值可能提前结束注释，让后续文字被解析成另一个认证结果。完整注释还可能泄露经手域名、转发关系与收件地址。

草案借鉴了 ARC 的取舍：少量可操作属性保持机器可读，实例细节留给人诊断。DKIM 规范解释旧属性的语义，Internet Mail Architecture则说明 ADMD 是运营边界，不是可以替别的机构作证的全球权力。

研究时，IANA 邮件认证参数注册表尚未出现 dkim2。修订版 00 请求登记方法、两个属性与五种结果。草案里的请求属于协调提案，不能写成已完成的登记。

Heng Lu 的最小初始规范允许大家共享紧凑词汇，却不夺走各运营者未来的本地决定；现实层要求把签名、验证、报告与行动分开；运行代码优先追问入口究竟删掉了什么、验证了什么、下游又实际采信了什么。

真正值得继承的是证据，不是别人的结论。