DKIM, SPF и DMARC

Как FOLD сам проверяет подписи DKIM и сочетает их с результатами SPF и DMARC вашего почтового сервера.

FOLD оценивает отправителя по двум источникам: по результатам, которые ваш собственный почтовый сервер записал при получении письма, и по своей собственной проверке DKIM. Обе работают на Mac, iPhone и iPad.

Результаты вашего сервера

Принимающие серверы добавляют заголовок Authentication-Results со своими вердиктами SPF, DKIM и DMARC. Такие заголовки может добавить и отправитель, поэтому FOLD доверяет только заголовку, в котором имя сервера точно совпадает с сервером IMAP вашей учётной записи. Все остальные экземпляры игнорируются.

SPF и DMARC FOLD берёт из этого заголовка; сам он SPF не проверяет. Если ваш провайдер записывает заголовок под другим именем, чем имя его сервера IMAP, у FOLD нет вердикта SPF или DMARC для вашей почты, и он показывает нейтральное состояние, описанное в разделе индикаторы.

Собственная проверка DKIM в FOLD

Для каждой подписи DKIM-Signature в письме FOLD:

Требует, чтобы заголовок From был среди подписанных заголовков.
Заново вычисляет хеш тела с канонизацией, указанной в подписи (simple или relaxed).
Получает открытый ключ из DNS (selector._domainkey.domain).
Проверяет подпись алгоритмом rsa-sha256 или ed25519-sha256.

Отклоняются подписи rsa-sha1, ключи RSA короче 1024 бит и ключи, которые домен отозвал. Подпись ключом, помеченным как тестовый (t=y), не засчитывается как успешная.

Как сочетаются результаты

Собственная проверка DKIM может подтвердить или ужесточить вердикт вашего сервера, но никогда не смягчает его:

Действительная подпись от домена отправителя подтверждает DKIM.
Недействительная подпись, которая заявляет домен отправителя, переводит письмо в состояние Не удалось проверить отправителя, даже если ваш сервер считал иначе. Исключение составляют списки рассылки, потому что они изменяют письма на законных основаниях.
Ошибки DNS или отсутствующий ключ оставляют вердикт вашего сервера без изменений и отображаются как невозможно проверить.

DMARC считается выровненным, если прошедший проверку домен совпадает с доменом отправителя или имеет с ним общие две последние метки. FOLD пока не использует Public Suffix List, поэтому для доменов под суффиксами вроде co.uk это сравнение слишком снисходительно. Письмо с несколькими заголовками From всегда рассматривается как возможная подделка.

Когда выполняется проверка

FOLD проверяет письмо, когда впервые загружает его целиком: когда вы его открываете или когда он заранее загружает следующее письмо. Письмо появляется сразу; вердикт следует мгновением позже. Запросы DNS идут к резолверу, который использует ваше устройство.

Результат сохраняется вместе с письмом. Если DNS не ответил, FOLD повторяет попытку, когда вы в следующий раз открываете письмо при наличии подключения.