phoenix-framework - 为什么电子邮件中有两个 DKIM 签名？

Question

我正在尝试使用 Phoneix 和 Amazon SES 发送电子邮件，使用 bamboo 和 bamboo_ses。我已经在 Amazon SES 上验证了电子邮件和域，并将(相同的)DKIM 记录添加到 DNS。

我正在设置这样的电子邮件:

email =
  new_email()
  |> to(recipient)
  |> Bamboo.Email.from({name, from})
  |> subject('Some Subject')
  |> text_body(body_text)
  |> put_header("Return-Path", from)

但每次我这样发送电子邮件时，在另一端我都会收到两个 DKIM 签名，如下所示:

签名 1:

v=1;
a=rsa-sha256;
q=dns/txt;
c=relaxed/simple;
s=someletterssssssadasdsd;
d=mydomain.com;
t=123456789;
h=To:Subject:Mime-Version:From:Content-Type:Message-ID:Date;
bh=somelettersssssss=;
b=somelonglettersssss=

签名 2:

v=1;
a=rsa-sha256;
q=dns/txt;
c=relaxed/simple;
s=someletterssasdasddasdasd;
d=amazonses.com;
t=123456789;
h=To:Subject:Mime-Version:From:Content-Type:Message-ID:Date:Feedback-ID;
bh=somenumber=;
b=kq/somelongnumber=

这是为什么呢？我如何克服附加第二个签名的问题，因为当我尝试通过亚马逊发送时，我只收到一个(签名 1)，带有我的域。

Answer 1

根据 DMARC specification 允许具有多个 DKIM 签名:

Note that a single email can contain multiple DKIM signatures, and it is considered to be a DMARC "pass" if any DKIM signature is aligned and verifies.

事实上，Amazon SES 总是添加自己的 DKIM 签名，无论是通过 API 还是 SMTP 发送(我现在正在观察)，甚至是手动签名的消息 (Amazon SES documentation):

Every message that you send by using Amazon SES contains a DKIM header that references a signing domain of amazonses.com ... [Even] if you manually sign your messages, your messages will include two DKIM headers: one for your domain, and the one that Amazon SES automatically creates for amazonses.com