Dois registros de resultado dkim diferentes no relatório DMARC do google

Question

Eu recebo o relatório do DMARC do google e a verificação do dkim aparece duas vezes, uma com aprovação e outra com status de falha. Esse mesmo relatório inclui outro registro do mesmo IP com todos os status de aprovação. Alguma idéia do que causaria isso, ou o que devo consertar?

Aqui estão as entradas relevantes do relatório, após sanear o nome de domínio e os IPs. Observe que o segundo registro tem duas entradas dkim diferentes para o mesmo domínio:

  <record>
    <row>
      <source_ip>222.222.222.222</source_ip>
      <count>2</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>mydomain.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>mydomain.com</domain>
        <result>pass</result>
      </dkim>
      <spf>
        <domain>mydomain.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  ..
  <record>
    <row>
      <source_ip>222.222.222.222</source_ip>
      <count>2</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>mydomain.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>mydomain.com</domain>
        <result>pass</result>
      </dkim>
      <dkim>
        <domain>mydomain.com</domain>
        <result>fail</result>
      </dkim>
      <spf>
        <domain>mydomain.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
  <record>

    

Answer 1

A mensagem provavelmente foi assinada duas vezes. Isso não é incomum. Mensagens com sinal duplo acontecem mais quando uma mensagem é encaminhada. Existe alguma chance de a mensagem ter sido encaminhada em algum lugar dentro do seu domínio?

Como você pode ver, a passagem DKIM alinhada única foi suficiente para o DMARC-DKIM, então o Google avaliou a assinatura dupla corretamente. Algumas configurações - Cisco Ironport em particular - não lidam com assinaturas duplas corretamente, mas os grandes ISPs, como o Google, não têm problemas com isso.