Demo
Demo
База знаний PMTA›Блок <source>›Директива§ 3.3.7.20

trace-dkim-check

<source>

Класть ли в заголовок письма запросы проверки подписи
в конфигурации это строкаtrace-dkim-check falseвнутри блока <source>
След проверки подписи

Добавляет к заголовку с результатами проверок все запросы к DNS, сделанные при проверке подписи, — то есть поиск открытого ключа. Умолчание — не добавлять.

Польза одна: когда проверка подписи даёт неожиданный результат, по следу видно, какой именно ключ узел искал и что получил в ответ. Без следа приходится повторять запрос вручную и надеяться, что DNS ответит так же.

След уезжает вместе с письмом — как и у прочих строк этого рода.

Главная ловушка та же, что у соседей: включённый временно, он остаётся навсегда. Отличие лишь в том, что у писем с несколькими подписями след длиннее — запросы делаются по каждой.
Что делает Хаб. Не пишет: проверка подписи на входе не включена. Как и прочие следы, эта строка уместна только во временной правке.
Рекомендуемые значения

Только на время разбирательства. И с комментарием.

Сузьте источник. След попадёт лишь в письма из указанной сети.

Часто хватает ручного запроса. Открытый ключ смотрится одной командой по селектору и домену из подписи.

Совет пользоваться ручным запросом — наш. Из руководства здесь умолчание и состав следа: все запросы к DNS.
Пример в конфигурации
# ВРЕМЕННО: разбираемся, почему не проходит проверка подписи
<source 198.51.100.0/24>
    check-dkim-inbound true
    trace-dkim-check true</source>
Селектор и домен для ручной проверки берутся из самой подписи письма — их видно и без следа.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается1 ошибка▶

Оставляют включённым после разбирательства

наш опыт

Чем чреватоКаждое принятое письмо несёт наружу запросы за открытыми ключами. У писем с несколькими подписями след ещё длиннее.
Как заметитьВ заголовках принятых писем видны запросы к DNS.
Как правильноВыключить; включать с комментарием и на время.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
trace-dkim-check <boolean>
Значения
yes или no; true и false принимаются наравне с ними
Умолчание
false § 3.3.7.20
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<source>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Значение задаётся в блоке <source> и действует на почту, поданную подходящим источником; при нескольких подходящих блоках выигрывает наиболее точный. Срабатывает только при включённой check-dkim-inbound. Подхватывается по pmta reload.
⇄

Связанные директивы

1 связь

Без чего не работает

check-dkim-inbound<source>Строка не срабатывает, пока проверка подписи не включена. § 3.3.7.20

Как проверить на узле
Значение задаётся в конфигурации источника; тот же ключ можно запросить вручную:
grep -n trace-dkim-check /etc/pmta/config
dig +short TXT k1._domainkey.example.org
Селектор и домен для второй команды берутся из полей подписи в самом письме. Хаб этой строки не пишет.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Два обработчика входящих отчётов и что с ними делатьОтказы письмом и жалобы разбираются двумя одинаково устроенными блоками; у каждого свой список адресов и своя пара решений о судьбе письма.◇Списки адресов — именованные и безымянныеСписок адресов, доменов, образцов или хешей; именованный подключается директивами вроде подавления, безымянный живёт внутри процессора входящей почты.

В Хабе
Цена ошибки
безопасно: неверное значение ничего не ломает
Сценарии
Приём входящей почты
Соседние настройки блока <source>:log-commandslog-tlslog-connectionstrace-iprev-checklog-dataВсе 74 директив блока →