Mailu项目中IDN域名DKIM签名问题的分析与解决

问题背景

在电子邮件系统中，DKIM（DomainKeys Identified Mail）是一种重要的电子邮件认证机制，它通过数字签名验证邮件确实来自声称的发件人域。Mailu作为一个开源的邮件服务器解决方案，在处理国际化域名（IDN，Internationalized Domain Names）时遇到了DKIM签名验证问题。

问题现象

当Mailu服务器使用包含非ASCII字符的国际化域名（如德文字符"ü"）发送邮件时，不同邮件服务提供商对DKIM签名的验证结果不一致：

• Gmail和Mailu自身能够成功验证签名（dkim=pass）
• web.de和Microsoft相关邮件服务则验证失败（dkim=fail）

技术分析

通过分析邮件头部的DKIM签名字段，发现失败案例中的域名显示为"ü"而不是正确的"ü"字符。根据相关RFC标准：

1. RFC 6376第3.5节规定：国际化域名在DKIM签名中必须使用A-label编码（即punycode编码，以"xn--"开头）
2. RFC 5890第2.3节定义了A-label编码格式

当前Mailu的实现中，DKIM签名由rspamd模块处理，但返回的域名字段未进行punycode编码转换，导致部分严格遵循标准的邮件服务验证失败。

解决方案

问题根源在于Mailu的rspamd接口实现中。具体流程如下：

1. rspamd请求密钥时已正确进行IDNA编码（如将"ü"转换为"xn--"格式）
2. 但Mailu的rspamd.py接口在返回响应时，domain字段仍保持原始非ASCII字符
3. 这个未编码的域名最终被直接用于DKIM签名的"d="字段

解决方案是在rspamd.py接口中对返回的domain字段进行punycode编码转换。测试表明，这一修改能够使所有邮件服务提供商（包括web.de）成功验证DKIM签名。

实现建议

对于Mailu项目维护者，建议：

1. 修改rspamd.py接口，确保返回的domain字段经过punycode编码
2. 添加相关测试用例，覆盖国际化域名场景
3. 考虑在文档中明确说明对国际化域名的支持情况

这一改进将增强Mailu对国际化域名的兼容性，确保DKIM签名在各种邮件服务环境中都能被正确验证。

总结

国际化域名的正确处理是邮件系统实现中的一个重要细节。通过遵循RFC标准并确保所有环节都进行正确的编码转换，Mailu可以提供更稳定、兼容性更好的DKIM签名功能。这一改进虽然涉及代码改动不大，但对使用非ASCII字符域名的用户具有重要意义。