Docker-Mailserver中跨域别名邮件的DKIM签名问题分析

问题背景

在使用Docker-Mailserver搭建邮件服务器时，管理员发现了一个关于DKIM签名的特殊现象：当使用跨域别名发送邮件时，邮件未能正常进行DKIM签名。具体表现为：

1. 主域名（如c0d3m4513r.com）和其子域名的邮件发送正常签名
2. 通过MX记录关联的跨域别名（如example.com）发送邮件时缺失DKIM签名
3. 反向邮件传输（从关联域名发往主域名）则签名正常

技术原理

DKIM（DomainKeys Identified Mail）是一种电子邮件验证标准，通过在邮件头部添加数字签名来验证邮件来源的真实性。在Docker-Mailserver中，默认使用rspamd作为DKIM签名服务。

当启用SPOOF_PROTECTION=1时，系统会对发件人地址进行严格验证。对于跨域别名的情况，rspamd默认配置（allow_username_mismatch=false）会阻止签名，因为发件人域名与认证用户域名不匹配。

解决方案

经过技术分析，可以通过修改rspamd的DKIM签名配置来解决此问题：

1. 编辑rspamd的DKIM签名配置文件
2. 将allow_username_mismatch参数设置为true
3. 确保每个需要签名的域名都在domain块中明确定义

示例配置修改如下：

allow_username_mismatch = true;

domain {
    c0d3m4513r.com {
        path = "/path/to/dkim/key.private";
        selector = "mail";
    }
    example.com {
        path = "/path/to/dkim/key.private";
        selector = "mail";
    }
}

安全考量

启用allow_username_mismatch确实会放宽签名限制，但需要结合以下安全措施：

1. 确保SPOOF_PROTECTION保持启用状态
2. 只对已验证的域名配置DKIM签名
3. 定期检查邮件日志，监控异常签名行为
4. 为每个域名使用独立的DKIM密钥

最佳实践建议

1. 对于生产环境，建议为每个域名单独生成DKIM密钥
2. 定期轮换DKIM密钥（建议每6-12个月）
3. 在DNS中发布DMARC策略，监控邮件认证结果
4. 对新配置的域名进行完整的邮件流测试

通过以上配置调整和安全措施，可以在保证邮件安全性的同时，解决跨域别名邮件的DKIM签名问题。