DKIM: Body Hash did not verify – Ursachen

daniele@mikweb: ~/errors — less dkim-fail-body-hash-did-not-verify.md

So sieht die Meldung aus

Authentication-Results: mx.google.com;
       dkim=fail (body hash did not verify) header.i=@example.com header.s=default header.b=abc123;
       spf=pass smtp.mailfrom=example.com

Häufige Ursachen

Ein Mail-Gateway oder Virenscanner fügt einen Footer oder ein Banner hinzu, nachdem dein Server signiert hat.
Eine Mailingliste oder ein Weiterleiter ändert Betreff oder Text oder fügt einen Abmelde-Footer an.
Link-Tracking oder URL-Umschreibung verändert den Text.
Strenge Kanonisierung (simple) bricht schon bei kleinen Änderungen wie Leerzeichen oder Zeilenenden.
Die Nachricht wird vor einem anderen Filter signiert oder zweimal mit verschiedenen Schlüsseln.

Prüfen

Signatur und Ergebnis in den Headern einer empfangenen Testmail ansehen
grep -iE '^(dkim-signature|authentication-results)' message.eml
Ist der DNS-Schlüssel veröffentlicht und gültig?
dig +short TXT default._domainkey.example.com
Den Schlüssel auf dem signierenden Server testen
opendkim-testkey -d example.com -s default -vvv
Welche Kanonisierung ist eingestellt?
grep -i Canonicalization /etc/opendkim.conf

Lösung

Das Signieren zum allerletzten Schritt machen, nach Virenscanner, Disclaimer und Filter, direkt vor dem Versand.
Relaxed-Kanonisierung nutzen: Canonicalization relaxed/relaxed.
Footer und Banner, die nach dem Signieren angefügt werden, entfernen oder vorher hinzufügen.
Link-Umschreibung für die eigene ausgehende Post abschalten oder danach signieren.
Bei Mailinglisten auf SPF-Alignment und eine DMARC-Richtlinie p=none oder quarantine setzen; Listen verändern Nachrichten bauartbedingt.

Häufige Fragen

Was ist der Unterschied zu „signature did not verify“?

„Body hash did not verify“ heißt, der Text wurde verändert. „Signature did not verify“ heißt meist, der DNS-Schlüssel passt nicht zum privaten Schlüssel oder die signierten Header wurden geändert.

Heißt ein DKIM-Fehler immer Spam?

Nein. Besteht SPF und ist ausgerichtet, kann DMARC trotzdem bestehen. Ein kaputtes DKIM schwächt aber die Zustellung, also beheben.

daniele@mikweb: ~/blog — ls

E-Mails landen im Spam: SPF, DKIM und DMARC-Alignment verständlich erklärtSPF, DKIM und DMARC einfach erklärt: was jedes prüft, warum Mails trotz SPF im Spam landen, wie man Header liest — mit Tabelle, Befehlen und Checkliste.

daniele@mikweb: ~/errors — ls

not accepted due to domain's DMARC policy550 5.7.1 Unauthenticated email is not accepted due to domain's DMARC policy 550 5.7.1SMTP 550 5.7.1: Relay access denied und Policy-Ablehnung 550 5.7.26SMTP 550 5.7.26 und 5.7.23: Mail nicht authentifiziert 421 4.7.0SMTP 421 4.7.0: Vorübergehend gedrosselt (try again later)Dovecot Permission deniedDovecot: Error: open() failed: Permission denied (Postfach)SASL authentication failedPostfix: SASL authentication failed; cannot authenticate to server (no mechanism available)

DKIM: dkim=fail (body hash did not verify)