Demo
Demo
База знаний PMTA›Блок <domain>›Директива§ 3.3.10.28

dkim-identity-fallback

<domain>

Запасное имя подписи, если по основному ключа не нашлось
в конфигурации это строкаdkim-identity-fallbackвнутри блока <domain>
Подписать своим, если чужого ключа нет

Обычное поведение при ненайденном ключе — отправить письмо без подписи. Эта строка предлагает третий путь: если по основному имени подписи ключа не нашлось, взять запасное имя и подписать им.

Сценарий один и понятный: смешанный поток. Часть клиентов отдала вам ключи на своих доменах, часть нет. Для первых письмо подписывается их ключом, для вторых — вашим, вместо того чтобы уйти голым.

Работает только вместе с dkim-identity — руководство говорит это прямо. Без основного имени подписи запасному не от чего откатываться.

Главная ловушка — тихая подмена имени. Клиент завёл ключ, потом сменил запись в DNS или удалил её — и письма от его имени начинают уходить подписанными вашим доменом. Ни ошибки, ни предупреждения: строка ровно для этого и написана. Заметить можно только по полю d= в отправленных письмах.
Что делает Хаб. Не пишет: смешанного потока с чужими ключами у него нет. Строка понадобится, если появится отправка за клиентов, часть которых отдаёт ключи, а часть нет.
Рекомендуемые значения

Ставьте домен, на который у вас есть ключ. Запасное имя подчиняется тому же правилу: оно должно совпадать с доменом какого-нибудь объявления или быть его поддоменом.

Следите за долей. Рост числа писем, подписанных запасным именем, означает, что чьи-то ключи перестали находиться — это повод разбираться, а не радоваться.

Без dkim-identity строка не работает. Требование руководства, а не рекомендация.

Совет следить за долей — наш. Из руководства здесь назначение строки, требование задать основное имя подписи и пример со смешанным потоком.
Пример в конфигурации
# ключ клиента не нашёлся — подписываем своим, а не отправляем голым
domain-key key1, esp456.com, /etc/pmta/key1.esp456.com.pem

<domain yahoo.com>
    dkim-sign yes
    dkim-identity sender-or-from
    dkim-identity-fallback @esp456.com</domain>
Строка выше обязательна: без заданного основного имени подписи запасному не от чего откатываться.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Задают без основного имени подписи

§ 3.3.10.28

Чем чреватоСтрока не работает: руководство требует заданного dkim-identity. Запасной вариант выглядит настроенным и не срабатывает ни разу.
Как заметитьПисьма без ключа по-прежнему уходят неподписанными.
Как правильноЗадать основное имя подписи рядом.

Не следят за долей писем с запасным именем

наш опыт

Чем чреватоКлиент удалил запись в DNS — письма от его имени тихо переходят на вашу подпись. Расхождение d= с From видно приёмнику, а вам — нет.
Как заметитьДоля писем с вашим доменом в d= растёт без изменений в конфигурации.
Как правильноСчитать эту долю по учёту и разбираться при её росте.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
dkim-identity-fallback <address-or-domain>
Значения
домен или адрес электронной почты; требует заданного dkim-identity
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<domain>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Значение сливается по блокам <domain> от общего к частному: побеждает наиболее подходящий блок, а не последний по файлу. Требует заданного dkim-identity и подчиняется тому же правилу совпадения с доменом объявления domain-key. Подхватывается по pmta reload.
⇄

Связанные директивы

1 связь

Без чего не работает

dkim-identity<domain>Основное имя подписи; без него запасному не от чего откатываться — это требование руководства. § 3.3.10.28

Сюда ссылаются

arc-identity-fallback<domain>То же самое для обычной подписи — но там откат к своему имени исключение, а у пересыльщика чужих ключей не бывает вовсе. § 3.3.10.37

Как проверить на узле
Значение печатает команда настроек очереди; сработало ли запасное имя — видно по полю d= подписи:
pmta show settings yahoo.com/vmta1 | grep -i identity
grep -i 'DKIM-Signature' /var/log/pmta/pmta.log | tail -3
Ваш домен в поле d= при клиентском From означает, что сработало запасное имя: ключ клиента не нашёлся. Хаб этой строки не пишет.
◇

Что ещё почитать

3 статьи

◇Не отправлять то, что не пройдёт проверку у получателяУзел сам проверяет SPF своей почты перед отправкой: не прошло — отбивает, не дожидаясь чужого отказа.◇Как узел подписывает письма и выбирает ключКлюч выбирается по домену отправки из заголовков, перебором объявлений сверху вниз.◇Заголовок письма, которым подающая сторона правит подписьПять параметров в X-DKIM-Options: селектор, домен, имя подписи, способ запроса и список ключей.

В Хабе
Цена ошибки
обратимо: вредит, пока стоит
Сценарии
Подпись и аутентификация писем
Соседние настройки блока <domain>:dkim-signdkim-identitycheck-spf-outbounddkim-disallow-adding-headersdkim-add-body-limitВсе 135 директив блока →