Mailcow邮件系统中DKIM签名与全域页脚功能的兼容性问题分析

问题概述

在Mailcow邮件系统2024年1月和2月版本中，用户报告了一个关于DKIM签名验证失败的技术问题。当启用新引入的"全域页脚"功能后，通过Apple Mail、Thunderbird和Spark等邮件客户端发送的邮件会出现DKIM签名验证失败的情况，而通过SOGo Webmail发送的邮件则不受影响。

技术背景

DKIM(DomainKeys Identified Mail)是一种电子邮件认证技术，它通过在邮件头中添加数字签名来验证邮件确实来自声称的发件人域，并且在传输过程中未被篡改。全域页脚功能是Mailcow新增的特性，允许管理员为整个域配置统一的邮件页脚内容。

问题现象

当同时满足以下条件时会出现问题：

1. 系统启用了全域页脚功能
2. 使用传统邮件客户端(MUA)发送邮件
3. 收件方服务器进行DKIM验证

测试表明，通过SOGo Webmail界面发送的邮件不受此问题影响，DKIM验证正常通过。

根本原因分析

初步分析表明，问题可能出在邮件处理流程中的签名时机与内容修改顺序上：

1. 传统邮件客户端发送邮件时，DKIM签名可能在邮件内容最终确定前就被添加
2. 全域页脚功能随后修改了邮件正文内容
3. 这种修改导致邮件内容与原始DKIM签名不匹配
4. SOGo可能采用了不同的处理流程，先完成所有内容修改再进行签名

影响范围

此问题会影响所有使用以下配置的环境：

• Mailcow 2024-01或2024-02版本
• 启用了全域页脚功能
• 使用传统邮件客户端发送邮件
• 收件方服务器执行DKIM验证

临时解决方案

目前建议的临时解决方案是：

1. 暂时禁用全域页脚功能
2. 或仅通过SOGo Webmail发送重要邮件
3. 等待官方修复补丁发布

技术建议

对于希望自行调查的开发人员，可以检查以下方面：

1. Postfix的内容过滤器处理顺序
2. DKIM签名模块与页脚添加模块的执行时序
3. 邮件MIME结构的完整性验证

总结

Mailcow邮件系统中的DKIM签名与全域页脚功能存在兼容性问题，这提醒我们在实现邮件内容修改功能时需要特别注意其对邮件安全机制的影响。系统管理员应当关注此问题的修复进展，并在生产环境中谨慎使用新功能。