如何找到导致DMARC失败的特定电子邮件？

Question

我在几个域上实施了DMARC政策，并密切关注我从谷歌，雅虎，Hotmail等收到的报告，期待能够从p = none切换到p =拒绝。 / p>

来自相应IP的所有电子邮件中有99％现在都通过了DKIM和SPF检查，99％的失败来自我无法识别的IP地址。

几乎完美！

然而，

1％是来自正确IP的电子邮件，DKIM失败。

我无法看到DMARC报告有助于确定有关失败的电子邮件的任何。如果我能够知道主题，消息ID - 我可以解决它。

绝对没有办法做到这一点吗？

TY

Answer 1

失败报告（ruf =）选项应该是您正在寻找的。 更多信息来自https://dmarc.org/wiki/FAQ#Do_I_want_to_receive_Failure_Reports_.28ruf.3D.29.3F和https://tools.ietf.org/html/rfc7489#section-7.3。

Answer 2

某些ESP（电子邮件服务提供商）使用他们自己的DKIM验证器，并且它们中存在错误。所以你的DKIM将通过ESP的95％，并且让剩下的5％有一个错误，因为任何原因你的DKIM失败了。我一次又一次地看到这不是你的错，只是ESP那个坏组件的错。

像MailTest这样的测试人员会检查您的DKIM有4个不同的提供商，甚至他们在他们的知识库中也会说由于个别验证器中的错误而导致出现差异。它不会是100％完美，但如果你保持你的DKIM签名简单（使用Relax Canoncalization，而不是简单），不要签署重复字段，不要签署相同的字段两次，等等任何会混淆的东西验证者，尽量避免。

Answer 3

我建议你：

1. 检查报告您的IP失败的MTA：要执行此操作，请查看RUA报告或您的IP失败的RUF报告并识别报告者。

可能是单个记者的问题

1. 检查在验证SPF / DKIM时或在对齐评估时是否发生了故障。

获取IP失败的RUA报告。然后，转到特定记录。检查标记<result>。 ¿是否标记为PASS？

如果它被标记为PASS，那么在对齐验证时IP就会失败。要确认，请检查SPF / DKIM中已验证的域。

我希望我足够清楚。如果没有，请让我知道如何更好地编辑我的答案。