DKIM: body hash did not verify – soluzione

daniele@mikweb: ~/errors — less dkim-fail-body-hash-did-not-verify.md

Come appare il messaggio

Authentication-Results: mx.google.com;
       dkim=fail (body hash did not verify) header.i=@example.com header.s=default header.b=abc123;
       spf=pass smtp.mailfrom=example.com

Cause frequenti

Un gateway di posta o un antivirus aggiunge un footer o un banner dopo che il tuo server ha firmato.
Una mailing list o un inoltro cambia l'oggetto o il testo, oppure aggiunge un footer di disiscrizione.
Il tracciamento dei link o la riscrittura degli URL modifica il corpo.
La canonicalizzazione rigida (simple) si rompe con piccole modifiche come spazi o fine riga.
Il messaggio viene firmato prima di un altro filtro, oppure firmato due volte con chiavi diverse.

Verifica

Guarda firma e risultato negli header di una mail di prova ricevuta
grep -iE '^(dkim-signature|authentication-results)' message.eml
La chiave DNS è pubblicata e valida?
dig +short TXT default._domainkey.example.com
Prova la chiave sul server che firma
opendkim-testkey -d example.com -s default -vvv
Quale canonicalizzazione è impostata?
grep -i Canonicalization /etc/opendkim.conf

Soluzione

Fai della firma l'ultimo passaggio, dopo antivirus, disclaimer e filtri, subito prima dell'invio.
Usa la canonicalizzazione relaxed: Canonicalization relaxed/relaxed.
Togli o sposta footer e banner aggiunti dopo la firma, oppure aggiungili prima.
Spegni la riscrittura dei link per la tua posta in uscita, oppure firma dopo.
Per le mailing list affidati all'allineamento SPF e a una policy DMARC p=none o quarantine; le liste modificano i messaggi per natura.

Domande frequenti

Che differenza c'è con “signature did not verify”?

“Body hash did not verify” significa che il testo è cambiato. “Signature did not verify” di solito significa che la chiave DNS non corrisponde a quella privata, oppure che gli header firmati sono cambiati.

Un errore DKIM significa sempre spam?

No. Se SPF passa ed è allineato, DMARC può comunque passare. Ma un DKIM rotto indebolisce la consegna, quindi vale la pena sistemarlo.

daniele@mikweb: ~/blog — ls

Mail nello spam: SPF, DKIM e allineamento DMARC spiegatiSPF, DKIM e DMARC spiegati semplice: cosa verifica ognuno, perché la mail va nello spam anche con SPF valido, come leggere gli header — con tabella.

daniele@mikweb: ~/errors — ls

not accepted due to domain's DMARC policy550 5.7.1 Unauthenticated email is not accepted due to domain's DMARC policy 550 5.7.1SMTP 550 5.7.1: relay access denied e rifiuti per policy 550 5.7.26SMTP 550 5.7.26 e 5.7.23: email non autenticata 421 4.7.0SMTP 421 4.7.0: limitato temporaneamente, try again later Dovecot Permission deniedDovecot: Error: open() failed: Permission denied (casella)SASL authentication failedPostfix: SASL authentication failed; cannot authenticate to server (no mechanism available)

DKIM: dkim=fail (body hash did not verify)