forum.opennet.ru - "Только яндекс.почта ругается на dkim, что может быть?" (13)

"Только яндекс.почта ругается на dkim, что может быть?"

Форум Открытые системы на сервере (Почта / FreeBSD)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Только яндекс.почта ругается на dkim, что может быть?"	+/–
Сообщение от Мохнонос (?), 13-Окт-25, 16:27
Добрый день, Уважаемые! Помогите разобраться с ситуацией. Настроена почта postfix+opendkim+dovecot Всё работает, dns настроены, spf, dkim проприсан, dmarc указан, mxtoolbox сообщает, что всё ок. Тест при отсылке на gmail - говорит всё ок, в заголовках dkim=pass При отсылке на mail.ru - также всё ок. При отсылке на другой мой частный почтовик с проверкой dkim'а - также всё ок. А вот при отсылке на яндекс, письмо идёт в спам с пометкой о невалидной dkim подписи и предположении, что письмо было изменено после отправки. Скажите пожалуйста ваши предположения о том, как эту ситуацию продиагностировать и может даже победить? До этого момента я считал гуглопочту самой замороченной и проблемной, но тут с ней всё отлично, а вот яндекс недоволен.
Ответить \| Правка \| Cообщить модератору

Оглавление

Проверка DKIM происходит автоматически на стороне получателя Если домен в письм, Аноним (1), 20:08 , 13-Окт-25, (1) +1

Добрый день Домен не авторизован - это что значит В днс всё от птр, мх, sfp, до, Мохнонос (?), 20:29 , 13-Окт-25, (2)

Слово немного , по-моему, здесь лишнее - Один из возможных сценариев Для связк, Тот самый (?), 21:24 , 13-Окт-25, (3)

Добрый день Заголовки я проверял Вот с письма данные code DKIM-Signature v 1 , Мохнонос (?), 08:27 , 14-Окт-25, (7)

это означает, что заголовки письма меняются уже после того, как оно подписываетс, Аноним (1), 21:30 , 13-Окт-25, (4)

это означает, что некоторые не умеют правильно настраивать postfix opendkim, Тот самый (?), 22:53 , 13-Окт-25, (6)

есть ли в настройках postfix header_checks , Аноним (1), 21:37 , 13-Окт-25, (5)

Добрый день Да, в настройках есть замена заголовка, чтобы данные об ip отправите, Мохнонос (?), 08:35 , 14-Окт-25, (8)

а в dns какие записи вы сделали насчёт dkim имеется ввиду режим только подписан, Аноним (9), 21:04 , 14-Окт-25, (9)
значения полей from и reply-to совпадают в письмах , Аноним (9), 21:14 , 14-Окт-25, (10)
Проверьте, что домен, указанный в поле FROM ваших писем, совпадает с доменом из, Аноним (9), 21:23 , 14-Окт-25, (11)
Может потребоваться до 72 часов, чтобы DNS-серверы в интернете обменялись данным, Аноним (9), 21:25 , 14-Окт-25, (12)
Еще версия для проверки Это не совсем стандартный сокращенный перечень заголовко, Тот самый (?), 23:54 , 14-Окт-25, (13)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 13-Окт-25, 20:08 +1 +/–

Проверка DKIM происходит автоматически на стороне получателя. Если домен в письме не авторизован для отправки сообщений, то письмо может быть помечено подозрительным или помещено в спам, в зависимости от политики получателя.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2

2. Сообщение от Мохнонос (?), 13-Окт-25, 20:29 +/–

> Проверка DKIM происходит автоматически на стороне получателя. Если домен в письме не
> авторизован для отправки сообщений, то письмо может быть помечено подозрительным или
> помещено в спам, в зависимости от политики получателя.
Добрый день!
Домен не авторизован - это что значит? В днс всё от птр, мх, sfp, до dkim и dmarc'а прописано.
Яндекс конкретно вешает плашку с причиной: "Невалидная dkim подпись"
При щелчке на замок у отправителя в веб-интерфейсе пишет всё ок, кроме dkim, там пишет: "Письмо изменено после отправки"
Письмо шлётся с ip-камеры, через почтовый сервер с авторизацией. При указании отослать на гугл или другие почтовики - туда приходит "чистое" письмо, без проблем. А при указании яндекс-почты, приходит как описано выше.
Я немного не могу понять как это может происходить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #3, #4, #5

3. Сообщение от Тот самый (?), 13-Окт-25, 21:24 +/–

> Я немного не могу понять как это может происходить.
Слово "немного", по-моему, здесь лишнее ;-)
Один из возможных сценариев.
Для связки postfix+opendkim достаточно частая ошибка, когда перечень заголовков, которые подлежат защите DKIM удваивается. Выглядит это вот так:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=ххххххх.ru; h=content-type:content-type:from:from:subject:subject:to:to....
Различные реализации проверки DKIM по разному реагируют на ошибки оформления. Некоторые почтовики нормально пропускают такое. Некоторые отбрасывают как не валидную.
Проверь. Может быть и у тебя такое.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #7

4. Сообщение от Аноним (1), 13-Окт-25, 21:30 +/–

это означает, что заголовки письма меняются уже после того, как оно подписывается сертификатом сервера

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #6

5. Сообщение от Аноним (1), 13-Окт-25, 21:37 +/–

есть ли в настройках postfix header_checks?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #8

6. Сообщение от Тот самый (?), 13-Окт-25, 22:53 +/–

это означает, что некоторые не умеют правильно настраивать postfix+opendkim

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

7. Сообщение от Мохнонос (?), 14-Окт-25, 08:27 +/–

> Один из возможных сценариев.
> Для связки postfix+opendkim достаточно частая ошибка, когда перечень заголовков, которые
> подлежат защите DKIM удваивается. Выглядит это вот так:
> DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=ххххххх.ru; h=content-type:content-type:from:from:subject:subject:to:to....
> Проверь. Может быть и у тебя такое.
Добрый день!
Заголовки я проверял. Вот с письма данные:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=domen.ru; s=relay;
    t=1760419087; bh=КАКАЯ_ТО_ХЕШ_ПОДПИСЬ;
    h=From:To:Date:Subject;
    b=КАКАЯ_ТО_ХЕШ_ПОДПИСЬ

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

8. Сообщение от Мохнонос (?), 14-Окт-25, 08:35 +/–

> есть ли в настройках postfix header_checks?
Добрый день!
Да, в настройках есть замена заголовка, чтобы данные об ip отправителя убирал.
/^Received: from .*?$Authenticated sender: [^)]+$[[:space:]]+(by.*)/ REPLACE Received: ${1}
/^Received: from .*?$.*\[[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+\]$/ REPLACE Received: by mx.domen.ru

Я про это уже думал и замену заголовка Received отключал. Сейчас вот ещё раз сделал, проверил - так же яндекс отправил с той же резолюцией в спам, а заголовок Received в письме без каких-либо правок.
Да и более того в подписи dkim этот заголовок у меня не участвует
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=domen.ru; s=relay;
t=1760419814; bh=_КАКОЙ_ТО_ХЕШ_;
h=From:To:Date:Subject;
b=_КАКОЙ_ТО_ХЕШ_

И больше всего меня смущает то, что другие-то почтовики говорят, что dkim=pass. Не могут же многие почтовики ошибаться, а один яндекс - д'Артаньяном быть?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #9, #10, #11, #12, #13

9. Сообщение от Аноним (9), 14-Окт-25, 21:04 +/–

а в dns какие записи вы сделали насчёт dkim? имеется ввиду режим только подписанные или могут быть неподписанные или discardable?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

10. Сообщение от Аноним (9), 14-Окт-25, 21:14 +/–

значения полей from и reply-to совпадают в письмах?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

11. Сообщение от Аноним (9), 14-Окт-25, 21:23 +/–

Проверьте, что домен, указанный в поле FROM: ваших писем, совпадает с доменом из SPF-записи или DKIM-подписи с точностью до домена верхнего уровня.
Яндекс кроме dkim также обязательно проверяет spf

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

12. Сообщение от Аноним (9), 14-Окт-25, 21:25 +/–

Может потребоваться до 72 часов, чтобы DNS-серверы в интернете обменялись данными о новых DNS-записях.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

13. Сообщение от Тот самый (?), 14-Окт-25, 23:54 +/–

Еще версия для проверки.
>h=From:To:Date:Subject;
Это не совсем стандартный сокращенный перечень заголовков для подписывания.
В RFC 6376 (DKIM) по поводу заголовков сказано:
signing fields present in the message such as Date, Subject, Reply-To, Sender, and all MIME header fields are highly advised.
Может в Яндексе "highly advised" воспринимают как "обязательно"?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 13-Окт-25, 20:08	+1 +/–
Проверка DKIM происходит автоматически на стороне получателя. Если домен в письме не авторизован для отправки сообщений, то письмо может быть помечено подозрительным или помещено в спам, в зависимости от политики получателя.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #2

2. Сообщение от Мохнонос (?), 13-Окт-25, 20:29	+/–
> Проверка DKIM происходит автоматически на стороне получателя. Если домен в письме не > авторизован для отправки сообщений, то письмо может быть помечено подозрительным или > помещено в спам, в зависимости от политики получателя. Добрый день! Домен не авторизован - это что значит? В днс всё от птр, мх, sfp, до dkim и dmarc'а прописано. Яндекс конкретно вешает плашку с причиной: "Невалидная dkim подпись" При щелчке на замок у отправителя в веб-интерфейсе пишет всё ок, кроме dkim, там пишет: "Письмо изменено после отправки" Письмо шлётся с ip-камеры, через почтовый сервер с авторизацией. При указании отослать на гугл или другие почтовики - туда приходит "чистое" письмо, без проблем. А при указании яндекс-почты, приходит как описано выше. Я немного не могу понять как это может происходить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #3, #4, #5

3. Сообщение от Тот самый (?), 13-Окт-25, 21:24	+/–
> Я немного не могу понять как это может происходить. Слово "немного", по-моему, здесь лишнее ;-) Один из возможных сценариев. Для связки postfix+opendkim достаточно частая ошибка, когда перечень заголовков, которые подлежат защите DKIM удваивается. Выглядит это вот так: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=ххххххх.ru; h=content-type:content-type:from:from:subject:subject:to:to.... Различные реализации проверки DKIM по разному реагируют на ошибки оформления. Некоторые почтовики нормально пропускают такое. Некоторые отбрасывают как не валидную. Проверь. Может быть и у тебя такое.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #7

4. Сообщение от Аноним (1), 13-Окт-25, 21:30	+/–
это означает, что заголовки письма меняются уже после того, как оно подписывается сертификатом сервера
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #6

5. Сообщение от Аноним (1), 13-Окт-25, 21:37	+/–
есть ли в настройках postfix header_checks?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #8

6. Сообщение от Тот самый (?), 13-Окт-25, 22:53	+/–
это означает, что некоторые не умеют правильно настраивать postfix+opendkim
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

7. Сообщение от Мохнонос (?), 14-Окт-25, 08:27	+/–
> Один из возможных сценариев. > Для связки postfix+opendkim достаточно частая ошибка, когда перечень заголовков, которые > подлежат защите DKIM удваивается. Выглядит это вот так: > DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=ххххххх.ru; h=content-type:content-type:from:from:subject:subject:to:to.... > Проверь. Может быть и у тебя такое. Добрый день! Заголовки я проверял. Вот с письма данные: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=domen.ru; s=relay; t=1760419087; bh=КАКАЯ_ТО_ХЕШ_ПОДПИСЬ; h=From:To:Date:Subject; b=КАКАЯ_ТО_ХЕШ_ПОДПИСЬ
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

8. Сообщение от Мохнонос (?), 14-Окт-25, 08:35	+/–
> есть ли в настройках postfix header_checks? Добрый день! Да, в настройках есть замена заголовка, чтобы данные об ip отправителя убирал. /^Received: from .?\(Authenticated sender: [^)]+\)[[:space:]]+(by.)/ REPLACE Received: ${1} /^Received: from .?\(.\[[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+\]\)/ REPLACE Received: by mx.domen.ru Я про это уже думал и замену заголовка Received отключал. Сейчас вот ещё раз сделал, проверил - так же яндекс отправил с той же резолюцией в спам, а заголовок Received в письме без каких-либо правок. Да и более того в подписи dkim этот заголовок у меня не участвует DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=domen.ru; s=relay; t=1760419814; bh=_КАКОЙ_ТО_ХЕШ_; h=From:To:Date:Subject; b=_КАКОЙ_ТО_ХЕШ_ И больше всего меня смущает то, что другие-то почтовики говорят, что dkim=pass. Не могут же многие почтовики ошибаться, а один яндекс - д'Артаньяном быть?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #9, #10, #11, #12, #13

9. Сообщение от Аноним (9), 14-Окт-25, 21:04	+/–
а в dns какие записи вы сделали насчёт dkim? имеется ввиду режим только подписанные или могут быть неподписанные или discardable?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

10. Сообщение от Аноним (9), 14-Окт-25, 21:14	+/–
значения полей from и reply-to совпадают в письмах?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

11. Сообщение от Аноним (9), 14-Окт-25, 21:23	+/–
Проверьте, что домен, указанный в поле FROM: ваших писем, совпадает с доменом из SPF-записи или DKIM-подписи с точностью до домена верхнего уровня. Яндекс кроме dkim также обязательно проверяет spf
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

12. Сообщение от Аноним (9), 14-Окт-25, 21:25	+/–
Может потребоваться до 72 часов, чтобы DNS-серверы в интернете обменялись данными о новых DNS-записях.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

13. Сообщение от Тот самый (?), 14-Окт-25, 23:54	+/–
Еще версия для проверки. >h=From:To:Date:Subject; Это не совсем стандартный сокращенный перечень заголовков для подписывания. В RFC 6376 (DKIM) по поводу заголовков сказано: signing fields present in the message such as Date, Subject, Reply-To, Sender, and all MIME header fields are highly advised. Может в Яндексе "highly advised" воспринимают как "обязательно"?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8